Serieus datalek gevonden, hoe nu verder?

[hell4you]

Ik ben vandaag tegen een nogal ernstig datalek aangelopen en ik vraag me af hoe ik hier het beste mee om kan gaan.

Het verhaal:
Ik heb van de week bij een retailer met vestigingen in heel het land een product gekocht, dus ik kreeg gisteravond een mail met de informatie van: "Hier kun je inloggen om de orderstatus te bekijken". Verheugd klik ik meteen op de link... krijg je zo'n standaard inlogpagina en een registreer knop. Ik dus registreren, ingelogd, maar ik zag mijn order niet. Vreemd. Vervolgens de mail nog eens goed doorgelezen, bleek dat ik met mijn email en het order nummer als wachtwoord in moest loggen. Dus ik dat geprobeerd: wachtwoord onjuist. Wat niet gek is, want ik heb met dat emailadres zojuist een nieuw account aangemaakt. Helaas kon je dat account ook niet verwijderen.

Maar goed, ik geef natuurlijk niet meteen op. Dus ik even gekeken of ik iets met die order pagina kon om ergens een order nummer te veranderen zodat ik toch mijn order kon bekijken. Ik was tenslotte wel ingelogd met het juiste emailadres. Dus ik de link van de pagina met het order overzicht eruit gevist en in de adresbalk geplakt. Stond niet direct iets van een ordernummer, maar wel een klantnummer in. Gezocht in de mail en op de factuur, maar daar is geen klantnummer vermeld. Ik heb net die mail gehad, savonds laat, dus als mijn juiste account met een net iets lager (opvolgend) klantnummer ook net aangemaakt is dan zou ik die vrij snel moeten kunnen vinden. Dus ik pas dat klantnummer aan... zie ik in een keer de gegevens van een random klant! Maar dat niet alleen, blijkbaar ben ik ook ineens ingelogd als die andere klant... ik kan dus lekker rondklikken en persoonlijke gegevens inzien, en zelfs gewoon wijzigen! Dat betekent ook het wijzigen van een toekomstig leveradres waar een aanbetaling van soms duizenden euro's op is gedaan. Het openen van die link kan zelfs zónder daadwerkelijk account op die site (bijv. in een incognito tabblad).

Dus een aantal nummers geprobeerd maar op de een of andere manier zag ik bij niemand een order. Ik wist dat mijn ouders daar ook iets hadden besteld, dus ik even ingelogd met gegevens van hun en daar zag ik inderdaad een order staan! Het viel me op dat mijn ouders in een totaal andere klantnummer range vielen dan ik had met mijn zojuist aangemaakte account. De verklaring ligt voor de hand: Het account van mijn ouders betreft een account die in de fysieke winkel was aangemaakt, die van mij via de webwinkel. Dat was ook waarom ik mijn order niet zag. Toen ben ik op zoek gegaan naar het hoogste klantnummer van dat moment. Deze klant had een order met een ordernummer vrij dicht in de buurt van die van mij. Aan de hand van inklemmen een aantal nummers geprobeerd en jawel hoor! Daar was mijn order . Doel bereikt, maar wel op een manier die me behoorlijk versteld deed staan.

En nu?
Dit moet ik natuurlijk melden. Het lek is van zo'n dergelijke aard dat er flink wat schade aangericht kan worden. Het is werkelijk niet meer dan het schrijven van een crawler die een voor een de klantnummers afloopt en je hebt een 100% kopie van hun complete order database.

Ik heb dit op het werk eens besproken en een collega kende iemand die bij die zaak wat hoger in de boom zat, maar niet direct verantwoordelijk voor IT. Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden". Reactie hierop laat tot dusver nog op zich wachten. Het is alleen wel belangrijk dat ze dit lek niet even snel repareren en vervolgens onder de mat schuiven. Zou ik dit tegelijk met de melding bij de retailer ook moeten melden bij de Autoriteit Persoonsgegevens?

Daarbij geven vrienden aan: "Je bent gek als je niet zorgt dat je je bestelling voor niks krijgt!" en "Je had met die informatie ook naar de concurrent kunnen gaan!". Nou verwacht ik niet direct een beloning voor deze vondst, maar misschien is een compensatie voor mijn tijd die ik erin heb gestopt in het verder uitzoeken, het melden en het datalek uit te leggen aan personen binnen de organisatie wel op zijn plaats. Hoe denken jullie hierover? Vinden jullie dit terecht? Vergeet niet dat ik ook klant ben bij deze winkel en mijn eigen gegevens ook op straat liggen.

[42dpi]

Conclusie van het verhaal is je wilt compensatie omdat je iets gevonden hebt.

Helaas voor je zijn bedrijven niet verplicht je te compenseren voor het melden, dit kun je niet afdwingen.

Mocht het bedrijf niks met je melding doen of het dichten meld het dan hier https://autoriteitpersoon...ing/meldplicht-datalekken

[hell4you]

Ik wil geen compensatie afdwingen, noch is het een streven. Ik wil puur toetsen of ik mezelf tekort doe om het werk wat zij eigenlijk vooraf al hadden moeten doen maar gratis op een briefje moet overhandigen. De hoogte van zo'n eventuele compensatie doet voor mij op dit moment totaal niet ter zake.

Daarnaast wil ik voorkomen dat deze winkel mijn en de klantgegevens van iedereen jaren lang publiekelijk beschikbaar stelt, dit vervolgens snel oplost, zonder daar een wettelijk verplichte melding van te maken, waarbij ik vervolgens niet meer overtuigend aan kan tonen dat het lek ooit bestaan heeft. Hoe pak ik dit aan?

[42dpi]

hell4you schreef op donderdag 20 april 2017 @ 02:07:
Ik wil geen compensatie afdwingen, noch is het een streven. Ik wil puur toetsen of ik mezelf tekort doe om het werk wat zij eigenlijk vooraf al hadden moeten doen maar gratis op een briefje moet overhandigen. De hoogte van zo'n eventuele compensatie doet voor mij op dit moment totaal niet ter zake.

Daarnaast wil ik voorkomen dat deze winkel mijn en de klantgegevens van iedereen jaren lang publiekelijk beschikbaar stelt, dit vervolgens snel oplost, zonder daar een wettelijk verplichte melding van te maken, waarbij ik vervolgens niet meer overtuigend aan kan tonen dat het lek ooit bestaan heeft. Hoe pak ik dit aan?

Je wil geen compensatie maar wel weten hoe je dat kan afdwingen, dat je beter wil worden van lekken waarbij andermans gegevens beschikbaar en dit niet ''wettelijk wilt melden'' is net zo slecht. (ook al zeg je dat het niet je doel praat het niet goed) Waar hebben we die wet voor?!

Dat je wat ''onderzoek'' hebt gedaan en wat getallen hebt veranderd is geen gedegen onderzoek, je bent hier tegen aangelopen en hebt wat zitten porren en lucky shot.

Bug compensatie waarbij een paar honderd tot paar duizend euro wordt betaald bestaan uit uren dan wel niet dagen en weken werk/onderzoek, waarbij nog eens gedetailleerde rapport word afgeleverd waarin precies staat hoe en wat en soms zelfs met de fix.

Als je gewoon het bedrijf inlicht en hun een termijn geeft van één of twee weken om het op te lossen, doen ze dit niet stap je naar de ''wettelijke melding''

Dat ze je bedanken en iets voor geven is coulance geen verplichting anders is het chantage.

[hell4you]

Ik weet niet waaruit jij afleid dat ik "wil weten hoe ik dat kan afdwingen". Dat wil ik uitdrukkelijk niet. Ik vraag om een mening of een compensatie terecht is of niet en niet om een manier om het af te dwingen. Daarbij stel je dat ik dit niet ''wettelijk wilt melden'', waar ik graag ook enige onderbouwing voor terug wil zien, want dit is absoluut het tegengestelde wat ik zelf aangeef. Ik geef namelijk in de TS aan dat ik dit wil melden bij de Autoriteit Persoonsgegevens. Verder is het coulance van mij dat ik de moeite neem om dit (al dan niet uitgebreid) te melden bij de desbetreffende retailer.

Hoe dan ook kan ik uit je offensief afleiden dat je van mening bent dat het onterecht is dat ik eventueel zou mogen vragen om een compensatie voor de tijd die ik hiermee bezig ben, in het belang van alle klanten. Dank daarvoor, ik zal dit in overweging nemen.

[Dunky555]

waarbij ik vervolgens niet meer overtuigend aan kan tonen dat het lek ooit bestaan heeft.

Nogmaals herhalen wat je hebt gedaan en dit opnemen?

[RGAT]

Tja wat is je vraag dan? Krijg je een beloning: geen idee, dat kan je alleen zelf kijken Verdien je een beloning: geen idee, dat ligt aan die retailer of die daar zin in heeft.
Als je vraag is of er iets in de wet is geregeld wat jou compensatie toewijst dan zit je dus al te kijken om dat af te dwingen en dat wil je niet dus dan blijft er niks anders over dan het melden en hopen dat je een cadeaubon oid krijgt...

[hell4you]

Een van mijn vragen is of het verzoek om een (bescheiden) compensatie m.b.t. het afhandelen van deze kwestie rechtvaardig is. Ik heb per slot van rekening niet gevraagd dat mijn persoonlijke gegevens op een publiek toegankelijke website gepubliceerd zouden worden. Nu word ik belast met deze zaak.

Wat mij betreft is het onvergefelijk dat een retailer van dergelijk formaat zijn zaken zo slecht op orde heeft. Deze website is werk waar financieel fors op is bespaard (bijv. door het door een onkundig persoon te laten ontwikkelen). Vervolgens lever ik een stukje onderzoek en advies op. Mijn mening is dat dit werkzaamheden in het belang van het bedrijf zijn, los van het feit dat ik dit nu niet in een professionele rol uitoefen. Indien ik dit doorzet zal mijn vraag aan de retailer ook zijn om dit werk te beoordelen en zelf de hoogte van de eventuele compensatie te kiezen. Ik ga hier niet over onderhandelen.

Het is een ethisch of moreel vraagstuk. Oftewel: "Doe je zoiets?"

[RGAT]

Voor iets waar je per ongeluk tegenaan loopt, niet professioneel een rapport oid voor hebt en niet in opdracht van het bedrijf zou ik niet erg gauw een vergoeding/salaris verwachten, zou er niet om vragen tenzij het Microsoft/Google/Facebook/DigID of een ander echt high profile instantie/bedrijf is en het een gigantisch groot lek is (toegang tot DigID accounts van anderen bijv.).
Maar een topic waar elke tweaker zegt 'Ja' of 'Nee' heeft weinig nut en gaat wss ook gesloten worden
Of jij een vergoeding vraagt laten afhangen van wat wij hier stemmen zegt toch ook genoeg? Dan twijfel je er zoveel aan dat je zelf al weet dat je er niet volledig achter staat en zoek je een excuus om geld te vragen of zelfs eisen.
Hoe groot is dat lek nou eigenlijk en hoe groot is de retailer?
Ja het is een slordig lek en het had niet mogen gebeuren, compensatie op basis dat jouw gegevens in theorie toegankelijk zijn zal ook niet gebeuren, zijn zat daadwerkelijke lekken geweest waar dat ook niet gedaan is. Compensatie op basis van (ongevraagd) werk voor het bedrijf zal je ook niet op hoeven wachten
Meldt het netjes bij het bedrijf en CBP oid en zet de winkel op je zwarte lijst tenzij ze het netjes en snel oplossen.

[deagan1337]

Zou je niet eerst eens het lek gaan melden, zodat de winkel het kan oplossen? Wellicht geven ze je als dank wel iets. Je vindt de compensatie nu belangrijker dan het lek, beetje vreemd naar mijn mening.

De tijd die je erin hebt gestopt zal wel meevallen, je kunt het als tweaker/ITer ook bekijken dat je weer iets geleerd hebt m.b.t. security, lijkt me persoonlijk interessanter. Je hebt er nu al veel meer tijd in gestopt met besprekingen met collega's en een hele beschrijving op dit forum, copy/paste dit in een e-mail naar het bedrijf en je hebt hun geholpen.

[42dpi]

hell4you schreef op donderdag 20 april 2017 @ 04:08:
Een van mijn vragen is of het verzoek om een (bescheiden) compensatie m.b.t. het afhandelen van deze kwestie rechtvaardig is.

Je kan het wel in een vraag stoppen maar je blijft hangen ''vergoeding'' ''compensatie'' , als extreem voorbeeld is: ik zie dat er bij de Albert Hein wordt ingebroken middenin de nacht, dat ga ik ze dus eerste bellen zeggen ''hey een van jullie winkels wordt er ingebroken ik vertel pas welke als ik weet dat ik een ''bescheiden'' compensatie kan krijgen''

Je wil van ons horen ja of nee, terwijl je het antwoord al weet, maar je zoekt een excuus om eerst iets te vragen en dan pas te vertellen wat het is. En dat is ethisch niet oké, je speelt met andere mensen hun persoonlijke gegevens. Hoe langer je wacht hoe groter de kans is dat iemand anders het vindt en misbruik maakt en dat is strafbaar.

[ Voor 5% gewijzigd door 42dpi op 20-04-2017 07:10 ]

[Croga]

hell4you schreef op donderdag 20 april 2017 @ 04:08:
Een van mijn vragen is of het verzoek om een (bescheiden) compensatie m.b.t. het afhandelen van deze kwestie rechtvaardig is.

Nee, dat is niet rechtvaardig. Je hebt geen probleem voor ze opgelost. Je hebt in feite geen waarde voor hen geleverd. Je hebt hetzelfde gedaan als een klant die tegen een winkel zegt "Ik denk dat jullie de Nintendo W00 moeten gaan verkopen".

Als je ze nou op een blaadje aangeleverd had waar het lek zit en hoe ze het moeten oplossen was het een ander verhaal geweest.

Ik heb per slot van rekening niet gevraagd dat mijn persoonlijke gegevens op een publiek toegankelijke website gepubliceerd zouden worden. Nu word ik belast met deze zaak.

Belast nog wel..... Nee hoor. Jij hebt alleen de lange weg gekozen. Als je JOUW probleem op wilt lossen annuleer je nu de order, verwijdert al je gegevens uit hun systeem en komt nooit meer terug. Dat is de enige overweging die bij jou ligt. Alle andere "belasting" is van je eigen making.

Wat mij betreft is het onvergefelijk dat een retailer van dergelijk formaat zijn zaken zo slecht op orde heeft. Deze website is werk waar financieel fors op is bespaard (bijv. door het door een onkundig persoon te laten ontwikkelen). Vervolgens lever ik een stukje onderzoek en advies op. Mijn mening is dat dit werkzaamheden in het belang van het bedrijf zijn, los van het feit dat ik dit nu niet in een professionele rol uitoefen.

Het staat nou juist níet los van of je het professioneel doet of niet. Het "werk" wat jij geleverd hebt is een half uurtje klikken. Het bedrijf heeft hier relatief weinig aan.

Het is een ethisch of moreel vraagstuk. Oftewel: "Doe je zoiets?"

Kun je hier om een vergoeding vragen? Ja zeker. Je hebt namelijk volledig recht van communicatie en kunt dus vragen wat je wilt.
Is dit ethisch juist? Mwah, ik zou het zeker niet onjuist willen noemen. Ik kan geen enkel stuk ethiek bedenken wat je hier in de weg zit. Wat wél ethisch onjuist is is de melding laten afhangen van een vergoeding. Jij bent, ethisch, moreel en juridisch, verplicht dit lek te melden bij het bedrijf. Onafhankelijk van vergoeding.
Heb je recht op een vergoeding? Naar mijn mening niet. Daarvoor is wat je gedaan hebt van te kleine waarde voor het bedrijf.

Het hele probleem is dat überhaupt hier uitgebreid met "vergoeding" rond strooien naar mijn mening wél een ethisch dilemma oplevert. Je hebt een lek geconstateerd. Je eerste prioriteit moet zijn het melden van dat lek. Überhaupt het concept "vergoeding" er bij betrekken is wat mij betreft al zwaar dubieus.

[ViNyL]

Je zou dit überhaupt gewoon moeten melden juist omdat iemand misbruik kan maken en anderen op die manier een hoop ellende kan bezorgen.

Stel jij krijgt de rekening en een ander de spullen omdat iemand dit lek ook kent?

[ Voor 5% gewijzigd door ViNyL op 20-04-2017 07:04 ]

[Teknix1982]

Ik zou het melden bij het bedrijf zodat zsm het lek gedicht kan worden want mensen hun gegevens lopen nu risico en ik zou in overleg treden met CBP hierover. Het is nog geen echt datalek van omvang gezien er geen bewijs is dat er uberhaupt al misbruik van gemaakt is.

Wat jouw vrienden suggereren dat je ermee naar de concurrent zou gaan lijkt me niet juist en misschien zelfs strafbaar? Ben geen jurist maar kan me voorstellen dat dit niet zomaar mag. Ik zou het zelf ook niet tevaak meer proberen want je mag sowieso niet ongevraagd in andermans database kijken. Ook al is het hun fout, het mag gewoon niet. Je mag ook niet met een gevonden sleutel ongevraagd bij iemand naar binnen stappen.

Een vergoeding zou ik niet eisen, het zou iets kunnen zijn dat het bedrijf jou aanbiedt als bedankje maar dat zou bijzaak moeten zijn.

[ Voor 26% gewijzigd door Teknix1982 op 20-04-2017 07:09 ]

[Steephh]

Persoonlijk vind ik het een heel terecht vraagstuk. Zeker in deze tijd waarin je mag verwachten dat een grote landelijk opererende retailer zijn zaakjes netjes op orde heeft. Maar als ik dan lees dat het mogelijk is om ALLE orders te scrapen waarbij je dus niet alleen een heleboel klantgegevens hebt maar ook nauwkeurig de omzet per week/maand/jaar/vestiging kan berekenen. Dat is ook nog eens informatie die voor een eventuele concurrent erg interessant is.Om maar even aan te geven van wat de impact is.

Ik vind het dan niet gek dat je even voor jezelf nagaat wat een goede manier van aanpak is. Er zijn immers meerdere wegen die leiden naar een correcte afhandelijk hiervan.

deagan1337 schreef op donderdag 20 april 2017 @ 06:32:
Zou je niet eerst eens het lek gaan melden, zodat de winkel het kan oplossen? Wellicht geven ze je als dank wel iets. Je vindt de compensatie nu belangrijker dan het lek, beetje vreemd naar mijn mening.

De tijd die je erin hebt gestopt zal wel meevallen, je kunt het als tweaker/ITer ook bekijken dat je weer iets geleerd hebt m.b.t. security, lijkt me persoonlijk interessanter. Je hebt er nu al veel meer tijd in gestopt met besprekingen met collega's en een hele beschrijving op dit forum, copy/paste dit in een e-mail naar het bedrijf en je hebt hun geholpen.

TS heeft al contact gezocht met iemand binnen de organisatie. Dat hij even peilt hoe men hier verder over denkt is imho toch niet vreemd? En iets leren mbt security, ik denk dat het meer dan logisch is dat gegevens onbeveiligd (zonder uberhaupt ook maar een gebruikersnaam, wachtwoord, uberhaupt een emailadres) ter beschikking stellen aan de buitenwereld, ik neem aan dat je daar niets over hoeft te leren.

42dpi schreef op donderdag 20 april 2017 @ 06:47:
[...]


Je kan het wel in een vraag stoppen maar je blijft hangen ''vergoeding'' ''compensatie'' , als extreem voorbeeld is: ik zie dat er bij de Albert Hein wordt ingebroken middenin de nacht, dat ga ik ze dus eerste bellen zeggen ''hey een van jullie winkels wordt er ingebroken ik vertel pas welke als ik weet dat ik een ''bescheiden'' compensatie kan krijgen''

Je wil van ons horen ja of nee, terwijl je het antwoord al weet, maar je zoekt een excuus om eerst iets te vragen en dan pas te vertellen wat het is. En dat is ethisch niet oké, je speelt met andere mensen hun persoonlijke gegevens en dat is ook strafbaar.

Volgens mij lees jij wat je wil lezen. En ik weet niet wat precies jouw doel is, maar in deze lijkt me de TS de Good Samaritan en jij valt hem er zojuist persoonlijk op aan dat hij "aan het spelen is met andere mensen hun persoonlijke gegevens". Is dat niet juist wat het bedrijf aan het doen is? Ook raakt je AH voorbeeld kant nog wal, dit is ook geen treffend voorbeeld in mijn ogen omdat de inbraak ook in de ochtend sowieso wel ontdekt zal worden, het pand zeer waarschijnlijk is voorzien van een alarminstallatie en er in midden in de winkel geen map ligt met alle klantinformatie..

De TS omschrijft uitdrukkelijk dat compensatie niet zijn doel is, maar hij wil wel graag peilen of zijn manier een juiste aanpak is. Onder andere met betrekking tot het melden dat er een lek is. Een ander (niet ondenkbaar scenario) wat ik voorzie is dat deze melding even weggemoffeld wordt door het bedrijf en hij vervolgens als "een lastig ventje" wordt gezien.

Om maar even een uiterste er tegen aan te gooien, dat je bij de lokale IT Manager op bezoek mag komen (in je eigen tijd nota bene) om de boel uit te leggen. Dat ie vervolgens zegt: "Hier heb je 2x 10 cent dan kan je even een koffie halen uit de automaat en doe voor mij maar een koffie zwart" en dat je het kantoor uit wordt gezet met een tegoedbon van 25 euro en een paar stickers en een pen en dat je vervolgens weer mag vertrekken na min of meer gedwongen te zijn een geheimhoudingscontract getekend te hebben waarna het bedrijf het datalek niet eens meer meldt bij de Autoriteit Persoonsgegevens.

Want in zo'n geval, bespaar je jezelf niet veel meer moeite door meteen naar de NOS / Tweakers / Geenstijl / etc toe te stappen? Of door direct een melding bij AP te droppen? Zie het niet als afpersing (immers, daar heb je zelf verder totaal geen belang bij), maar een bedrijf tegemoet te komen.

Persoonlijk vind ik overigens dat daar best iets van compensatie tegenover staan, je voorkomt immers dat het bedrijf een hele hoop public shaming over zich heen krijgt (wat terecht is in mijn ogen, gezien het ook onvergeefliijk is om zo met data om te gaan, alleen door bewustwording en impact zorg je ervoor dat dit soort bedrijven de inrichting en beveiliging van hun IT landschap serieus gaan nemen). Je kan het echter niet verwachten, maar het is zeker iets waar ik van vind dat het ze meer zou sieren als ze iets zouden aanbieden.

Betreffende het onder de tafel moffelen van de melding: ik zou persoonlijk een aantal screenshots/screenrecording maken van het issue (zelf een scrape maken van de order DB lijkt me te ver gaan) zodat je daar in ieder geval alsnog mee naar het AP kan stappen indien ze zelf geen melding doen.

[Gomez12]

Ik vind eigenlijk dat je wel recht hebt op compensatie en dan nog een gulle ook. Ik weet alleen niet of je de richting van die compensatie wel kan waarderen...

Want ik zou maximaal compensatie verwachten in de vorm van :
- Geen aangifte overtreden databankrecht
- Geen aangifte computervredebreuk.

Voor het melden van de bug had je moeten stoppen na het 1e klantnr geprobeerd te hebben, al je acties van even rondklikken, even je ouders klantnr proberen, even proberen je eigen klantnr in te klemmen etc zijn gewoon overtredingen van de wet.

Oftewel met een beetje geluk doen ze niets met beide wetsartikelen, met een beetje pech pakken ze er maar 1 van de 2 (ben je toch nog gecompenseerd)

[42dpi]

Steephh schreef op donderdag 20 april 2017 @ 07:15:
Persoonlijk vind ik het een heel terecht vraagstuk. Zeker in deze tijd waarin je mag verwachten dat een grote landelijk opererende retailer zijn zaakjes netjes op orde heeft. Maar als ik dan lees dat het mogelijk is om ALLE orders te scrapen waarbij je dus niet alleen een heleboel klantgegevens hebt maar ook nauwkeurig de omzet per week/maand/jaar/vestiging kan berekenen. Dat is ook nog eens informatie die voor een eventuele concurrent erg interessant is.Om maar even aan te geven van wat de impact is.

Ik vind het dan niet gek dat je even voor jezelf nagaat wat een goede manier van aanpak is. Er zijn immers meerdere wegen die leiden naar een correcte afhandelijk hiervan.

Je typt je zelf klem, ''het kan een groot risico zijn'' dus moet TS het melden, maar vertikt dit omdat vrienden zeggen ''hey mattie $_$ geld halen!'' daarop zoekt TS eerst een excuus om een vergoeding te gaan vragen

Steephh schreef op donderdag 20 april 2017 @ 07:15:

TS heeft al contact gezocht met iemand binnen de organisatie. Echt, dat hij even peilt hoe men hier verder over denkt is imho toch niet vreemd? En iets leren mbt security, ik denk dat het meer dan logisch is dat gegevens onbeveiligd (zonder uberhaupt ook maar een gebruikersnaam, wachtwoord, uberhaupt een emailadres) ter beschikking stellen aan de buitenwereld, ik neem aan dat je daar niets over hoeft te leren.

Dit zegt TS:

Ik heb dit op het werk eens besproken en een collega kende iemand die bij die zaak wat hoger in de boom zat, maar niet direct verantwoordelijk voor IT. Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden"

Dus nee contact zoeken op deze manier is de kantine juffrouw een mail sturen met ''een van jullie deuren staat niet op slot, vertel alleen nog niet welke''

Steephh schreef op donderdag 20 april 2017 @ 07:15:

Volgens mij lees jij wat je wil lezen. En ik weet niet wat precies jouw doel is, maar in deze lijkt me de TS de Good Samaritan en jij valt hem er zojuist persoonlijk op aan dat hij "aan het spelen is met andere mensen hun persoonlijke gegevens". Is dat niet juist wat het bedrijf aan het doen is? Ook raakt je AH voorbeeld kant nog wal, dit is ook geen treffend voorbeeld in mijn ogen omdat de inbraak ook in de ochtend sowieso wel ontdekt zal worden, het pand zeer waarschijnlijk is voorzien van een alarminstallatie en er in midden in de winkel geen map ligt met alle klantinformatie..

Good Samaritan PARDON?! TS zegt iets van gevaar voor persoonlijk gegevens te hebben gevonden en vist naar een vergoeding...

Een gat in klant gegevens zou ook beveiligd kunnen zijn maar is dus niet zo.

Steephh schreef op donderdag 20 april 2017 @ 07:15:

De TS omschrijft uitdrukkelijk dat compensatie niet zijn doel is, maar hij wil wel graag peilen of zijn manier een juiste aanpak is. Onder andere met betrekking tot het melden dat er een lek is. Een ander (niet ondenkbaar scenario) wat ik voorzie is dat deze melding even weggemoffeld wordt door het bedrijf en hij vervolgens als "een lastig ventje" wordt gezien.

Elke lek is lastig en niet gewild, zeggen nee ik hoef geen geld maar wil wel weten hoe ik dat kan krijgen op welke manier dan ook.... peilen mijn neus.

Steephh schreef op donderdag 20 april 2017 @ 07:15:
Om maar even een uiterste er tegen aan te gooien, dat je bij de lokale IT Manager op bezoek mag komen (in je eigen tijd nota bene) om de boel uit te leggen. Dat ie vervolgens zegt: "Hier heb je 2x 10 cent dan kan je even een koffie halen uit de automaat en doe voor mij maar een koffie zwart" en dat je het kantoor uit ......

Dit verhaal ?!

[ Voor 3% gewijzigd door 42dpi op 20-04-2017 07:32 ]

[Steephh]

Gomez12 schreef op donderdag 20 april 2017 @ 07:22:
Ik vind eigenlijk dat je wel recht hebt op compensatie en dan nog een gulle ook. Ik weet alleen niet of je de richting van die compensatie wel kan waarderen...

Want ik zou maximaal compensatie verwachten in de vorm van :
- Geen aangifte overtreden databankrecht
- Geen aangifte computervredebreuk.

Voor het melden van de bug had je moeten stoppen na het 1e klantnr geprobeerd te hebben, al je acties van even rondklikken, even je ouders klantnr proberen, even proberen je eigen klantnr in te klemmen etc zijn gewoon overtredingen van de wet.

Oftewel met een beetje geluk doen ze niets met beide wetsartikelen, met een beetje pech pakken ze er maar 1 van de 2 (ben je toch nog gecompenseerd)

En als je als bedrijf een dergelijke houding aan zou nemen, dan zou ik mijn bevindingen dus direct doorsturen naar de een aantal nieuws organisaties en me direct gaan verschuilen achter een journalist.

Hiermee dwing je meteen twee zaken af:

- Bedrijf doet WEL melding bij de AP (wat dus ook wetterlijk verplicht is tot op straffe van iets van 10% van de omzet van het bedrijf)
- Bedrijf fixt de boel gegarandeerd

Doel alsnog bereikt (hetzij met wat media aandacht, doet mogelijk wat schade af richting het bedrijf, maar dat is beter dan persoonlijk aangeklaagd te worden voor iets wat het bedrijf in den beginnen al goed opgelost had moeten hebben).

[Croga]

Steephh schreef op donderdag 20 april 2017 @ 07:29:
En als je als bedrijf een dergelijke houding aan zou nemen, dan zou ik mijn bevindingen dus direct doorsturen naar de een aantal nieuws organisaties en me direct gaan verschuilen achter een journalist.

Hiermee dwing je meteen twee zaken af:

- Bedrijf doet WEL melding bij de AP (wat dus ook wetterlijk verplicht is tot op straffe van iets van 10% van de omzet van het bedrijf)
- Bedrijf fixt de boel gegarandeerd

Doel alsnog bereikt (hetzij met wat media aandacht, doet mogelijk wat schade af richting het bedrijf, maar dat is beter dan persoonlijk aangeklaagd te worden voor iets wat het bedrijf in den beginnen al goed opgelost had moeten hebben).

Daarnaast heb je daarmee ook de garantie dat je wél voor het volle bereik van de wet voor de rechter gesleept wordt die daar volledig korte metten maakt met je smoesjes en je een paar duizend euro boete en een strafblad kado geeft. En terecht.

[Sissors]

Gomez12 schreef op donderdag 20 april 2017 @ 07:22:
Ik vind eigenlijk dat je wel recht hebt op compensatie en dan nog een gulle ook. Ik weet alleen niet of je de richting van die compensatie wel kan waarderen...

Want ik zou maximaal compensatie verwachten in de vorm van :
- Geen aangifte overtreden databankrecht
- Geen aangifte computervredebreuk.

Voor het melden van de bug had je moeten stoppen na het 1e klantnr geprobeerd te hebben, al je acties van even rondklikken, even je ouders klantnr proberen, even proberen je eigen klantnr in te klemmen etc zijn gewoon overtredingen van de wet.

Oftewel met een beetje geluk doen ze niets met beide wetsartikelen, met een beetje pech pakken ze er maar 1 van de 2 (ben je toch nog gecompenseerd)

Hoewel ik TS een zeikerd (lijk) te vinden, is dit ook zwaar overdreven. Als hij echt een gigantische reeks heeft geprobeerd dan geef ik je gelijk, maar juist die van zijn ouders proberen, waar hij toch toegang tot had, lijkt me een prima oplossing. Het eerste klantnummer gaf wel wat, maar niet bijvoorbeeld of er daadwerkelijk orders waren in te zien.

Als hij wel door een flinke reeks is gegaan om zijn eigen nummer te proberen te vinden dan heb je een punt dat dat niet de bedoeling is.

[Steephh]

Croga schreef op donderdag 20 april 2017 @ 07:39:
[...]

Daarnaast heb je daarmee ook de garantie dat je wél voor het volle bereik van de wet voor de rechter gesleept wordt die daar volledig korte metten maakt met je smoesjes en je een paar duizend euro boete en een strafblad kado geeft. En terecht.

Smoesjes? Duizenden euro's boete? Omdat je hebt uitgevonden dat bij het bezoeken van http://webwinkel.nl/ordernr.php?=1337 je een random order van een klant kan inzien zonder uberhaupt in te loggen?

Dat is toch te bizar voor woorden. Waar het eigenlijk dus op neer komt is dat je volgens jullie dit MOET melden (want dat hoort) maar vervolgens blij mag zijn indien je niet aangeklaagd wordt. Het gaat hier niet over een actieve actie dmv SQL insertion of wat dan ook. Dat zou al wat meer richting hacking gaan en dan begeef je je inderdaad op een heel ander vlak.

Overigens hebben journalisten een journalistiek bronnengeheim dus het lijkt me niet dat je daarmee voor het volle bereik van de wet voor de rechter gesleept gaat worden.

42dpi schreef op donderdag 20 april 2017 @ 07:27:
[...]


Je praat typt je zelf klem, het kan een groot risico zijn dus moet TS het melden, maar vertikt dit omdat vrienden zeggen ''hey mattie $_$ geld halen!) daarop zoekt TS eerst een excuus om een vergoeding te gaan vragen

Ik praat typ? Hij zoekt naar de juiste manier van aanpak, onder andere met betrekking dat het bedrijf dit lek niet weg gaat moffelen. Wat overigens wettelijk strafbaar is. Dat hij een algemene vraag met betrekking tot compensatie stelt is toch niet vreemd? Hij had ook de melding rechtstreeks bij het AP oid kunnen doen.

[...]


Nee contact zoeken op deze manier is de kantine juffrouw een mail sturen met ''een van jullie deuren staat niet op slot, vertel alleen nog niet welke'''

Ik heb dit op het werk eens besproken en een collega kende iemand die bij die zaak wat hoger in de boom zat, maar niet direct verantwoordelijk voor IT. Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden"

Ik weet niet bij welk bedrijf de kantinejuffrouw hoog in de boom zit, maar het lijkt me allereerst niet verkeerd om een juist aanspreekpunt binnen een bedrijf te zoeken om dit te melden. Of drop je een dergelijk securityissue gewoon op de voordeur bij Jan van de klantenservice?

[...]

Good Samaritan PARDON?! TS zegt iets van gevaar voor persoonlijk gegevens te hebben gevonden en vist naar een vergoeding...

Een gat in klant gegevens zou ook beveiligd kunnen zijn maar is dus niet zo.

Gevaar voor persoonlijk gegevens? Gat in klant gegevens zou ook beveiligd kunnen zijn? Ja, dat lijkt me min of meer vrij evident dat dat zou MOETEN zijn. Verder begrijp ik je niet helemaal.

[...]


Elke lek is lastig en niet gewild, zeggen nee ik hoef geen geld maar wil wel weten hoe ik dat kan krijgen op welke manier dan ook.... peilen mijn neus.

Begrijpend lezen lijkt me niet zo moeilijk.. Een van de belangrijkste punten in zijn verhaal is nog steeds dat hij wil voorkomen dat het onder de tafel gemoffeld wordt. Maar je valt in herhaling, puur over het compensatie stukje. Laten we nu eens ontopic verder gaan.

[...]


Dit verhaal ?!

Zoals gezegd: een uiterste. Inderdaad zou ik bij een dergelijke aanpak en uitwerking mijzelf afvragen waarom ik dit zo zou hebben aangepakt. Immers: het was veel makkelijker geweest om dit direct te melden bij het AP / mij achter een journalist te verschuilen waarbij ik zelf niet ongewenst doelwit wordt van eventuele gekke stappen van een bedrijf terwijl je hen enkel probeert te helpen.

[Croga]

Steephh schreef op donderdag 20 april 2017 @ 07:52:
Smoesjes? Duizenden euro's boete? Omdat je hebt uitgevonden dat bij het bezoeken van http://webwinkel.nl/ordernr.php?=1337 je een random order van een klant kan inzien zonder uberhaupt in te loggen?

Nee, omdat je na deze check verder gegaan bent dan nodig in het vaststellen van het probleem. Dat is strafbaar.

Dat is toch te bizar voor woorden. Waar het eigenlijk dus op neer komt is dat je volgens jullie dit MOET melden (want dat hoort) maar vervolgens blij mag zijn indien je niet aangeklaagd wordt.

Waar het op neer komt is dat je niet verder mag gaan dan nodig is en dat je verplicht bent het bij het bedrijf te melden. Als je beiden niet doet dan mag je heel erg in je handjes wrijven als je niet aangeklaagd wordt.

Het gaat hier niet over een actieve actie dmv SQL insertion of wat dan ook. Dat zou al wat meer richting hacking gaan en dan begeef je je inderdaad op een heel ander vlak.

Het gaat hier nogsteeds over een actieve actie.

Overigens hebben journalisten een journalistiek bronnengeheim dus het lijkt me niet dat je daarmee voor het volle bereik van de wet voor de rechter gesleept gaat worden.

Je gaf aan dat je daar pas naartoe gaat wanneer het bedrijf al gereageerd heeft. Die journalist hoeft zijn bronnen helemaal niet vrij te geven.

Overigens is ook brongeheim onderhevig aan toetsing door een rechter. Je hebt gelijk dat de rechter daar in dit geval (hoogstwaarschijnlijk) niets mee zal doen maar er moet nog altijd een overweging maken over algemeen belang.

Meteen naar een journalist stappen is nooit de juiste weg. Wanneer je naar het bedrijf stapt en hen het issue voorlegt en ze je dan aanklagen zal een rechter er heel anders naar kijken dan wanneer je eerst naar het bedrijf stapt, het antwoord je niet aan staat en alsnog naar SBS6 gaat. In dat laatste geval gaat een rechter een heel stuk minder vriendelijk naar je kijken aangezien het maatschappelijk belang geschaad wordt.

[Gomez12]

Steephh schreef op donderdag 20 april 2017 @ 07:29:
[...]
En als je als bedrijf een dergelijke houding aan zou nemen, dan zou ik mijn bevindingen dus direct doorsturen naar de een aantal nieuws organisaties en me direct gaan verschuilen achter een journalist.

Ik zou een betere schuilplaats zoeken, als vandaag TS binnen komt lopen met een melding over een lek en morgen komt een journalist er vragen over stellen dan kan dat bedrijf echt wel 1+1=2 doen hoor, daar hoeven ze geen bronvermelding van die journalist voor te hebben.

Doel alsnog bereikt

Het is maar net de vraag of TS wraak als voldoende compensatie ziet...
Want dat is the bottom line, het enige waar het de TS om gaat is compensatie.

Gaat het je niet om compensatie dan stel je gewoon een document op hoe het te reproduceren en je mailt dit gewoon naar het bedrijf toe en je gaat niet via-via geruchten verspreiden over een ernstig datalek.
In dat document beschrijf je dan ook direct dat dit document over 90 dagen automatisch naar de Autoriteit Persoonsgegevens gaat die het mag controleren.
En je stuurt het na 90 dagen naar de AP.

Er zijn hier iets te veel mensen die iets te veel films kijken.

Steephh schreef op donderdag 20 april 2017 @ 07:15:
Om maar even een uiterste er tegen aan te gooien, dat je bij de lokale IT Manager op bezoek mag komen (in je eigen tijd nota bene) om de boel uit te leggen. Dat ie vervolgens zegt: "Hier heb je 2x 10 cent dan kan je even een koffie halen uit de automaat en doe voor mij maar een koffie zwart" en dat je het kantoor uit wordt gezet met een tegoedbon van 25 euro en een paar stickers en een pen en dat je vervolgens weer mag vertrekken na min of meer gedwongen te zijn een geheimhoudingscontract getekend te hebben waarna het bedrijf het datalek niet eens meer meldt bij de Autoriteit Persoonsgegevens.

Exclusief de laatste zin is dat idd het uiterste maximale wat er uit te halen is.

"in je eigen tijd nota bene" dat zijn zulke kansloze opmerkingen, probeer anders gelijk even een paar miljard te declareren want terwijl je hun zat te hacken had je ook het middel naar kanker kunnen uitvinden en miljarden binnen kunnen harken.
Jij besluit om de boel te proberen te hacken, jij besluit om daar langs te gaan etc. etc. Jij bent de hele initiator van alles wat er gebeurt, dan moet je niet gaan mekkeren dat het jou tijd kost, daar heb je zelf voor gekozen.

Steephh schreef op donderdag 20 april 2017 @ 07:52:
[...]
Dat is toch te bizar voor woorden. Waar het eigenlijk dus op neer komt is dat je volgens jullie dit MOET melden (want dat hoort) maar vervolgens blij mag zijn indien je niet aangeklaagd wordt. Het gaat hier niet over een actieve actie dmv SQL insertion of wat dan ook. Dat zou al wat meer richting hacking gaan en dan begeef je je inderdaad op een heel ander vlak.

Allereerst gemiddelde SQL insertion hack vind ook gewoon via een url plaats, maar dan is het opeens een heel ander vlak?

Ten tweede je mag wmb idd blij zijn als je niet aangeklaagd wordt als je iets meldt en expliciet gaat hengelen naar een vergoeding zoals hier gebeurt.

Ik weet niet bij welk bedrijf de kantinejuffrouw hoog in de boom zit, maar het lijkt me allereerst niet verkeerd om een juist aanspreekpunt binnen een bedrijf te zoeken om dit te melden. Of drop je een dergelijk securityissue gewoon op de voordeur bij Jan van de klantenservice?

Gewoon in een email naar een algemeen adres tav IT-security officer dan komt het vanzelf wel goed terecht.
Je hele zoektocht kost alleen maar tijd dat het lek langer en langer openstaat en draagt totaal niet bij aan het willen oplossen, maar uiteraard wel aan op persoonlijke basis om een compensatie vragen.

[...]
Begrijpend lezen lijkt me niet zo moeilijk.. Een van de belangrijkste punten in zijn verhaal is nog steeds dat hij wil voorkomen dat het onder de tafel gemoffeld wordt.

Nope het belangrijkste punt is de compensatie. Niet onder tafel moffelen is gewoon naar pers en AP sturen en het bedrijf het via hun laten vernemen.
Zou hij het probleem asap opgelost willen zien dan had hij of een document kunnen sturen of aan zijn collega meegegeven kunnen hebben, maar dat wenst hij ook niet, want hij wil eerst even persoon tegen persoon kunnen onderhandelen over de compensatie.

[...]
Zoals gezegd: een uiterste. Inderdaad zou ik bij een dergelijke aanpak en uitwerking mijzelf afvragen waarom ik dit zo zou hebben aangepakt. Immers: het was veel makkelijker geweest om dit direct te melden bij het AP / mij achter een journalist te verschuilen waarbij ik zelf niet ongewenst doelwit wordt van eventuele gekke stappen van een bedrijf terwijl je hen enkel probeert te helpen.

Menig fatsoenlijk journalist gaat zich eerst wel even achter de oren krabben als hij hoort dat je je eigen nr "ingeklemd" hebt (aka gewoon een heleboel x geprobeerd).

Wat een white hacker zou doen (en waar die mogelijk uit coulance van het bedrijf, dus niet vragen, een vergoeding voor zou kunnen krijgen) is het volgende scenario :
- Hij ziet dat zijn order nr niet werkt, dat is jammer.
- Hij denkt dat er een lek zit, dit wordt bevestigd door het 1e klant-gegeven.
- Hij mailt het lek door en vraagt terloops naar zijn inlog voor zijn order want die heeft hij niet geprobeerd, het PoC is het 1e klant-gegeven.

Wat TS gedaan heeft is :
- Momenteel al minimaal 2 dagen wachten met doorgeven lek, want er moet wel duidelijkheid zijn over de compensatie.
- Databanken recht overtreden door het proberen in te klemmen van zijn ordernr.
Conclusie : TS vindt het een giga-lek wat er niet in had moeten zitten, maar nu het erin zit mag iedereen het misbruiken zolang er nog geen overeenkomst is over de hoogte van de compensatie.

[Steephh]

Ik denk overigens dat TS weinig / geen ervaring heeft met hoe te handelen in een dergelijke situatie. Ook zie je dan weer dat Google/FB riante vergoedingen geeft bij het vinden van een hack/lek. Het is dan toch niet vreemd dat hij er naar informeert hoe hij de communicatie moet aanpakken, waarbij hij er met klem bij aangeeft dat het hem niet om een tegemoetkoming gaat maar voornamelijk in de aanpak. Hij heeft immers gezegd: "hij gaat hier NIET over onderhandelen". Toch blijven meerdere Tweakers stug volhouden van wel..

Gomez12 bijvoorbeeld schijnt vaker met dit bijltje gehakt te hebben, hij weet precies hoe ver hij kan gaan en wat hij moet doen in het geval hij bij een dergelijk datalek uitkomt. Dat is dan toch alleen maar goud dat hij deelt hoe in de praktijk hiermee om wordt gegaan?

Voorzichtigheid en bedachtzaamheid in waarop je het bedrijf benaderd lijken me niet overbodig want als Tweakers hier je al betichten van strafbare zaken, je uitmaken voor van alles en nog wat.. Wie weet wat je bij het bedrijf zelf dan nog te wachten staat... Terwijl je voornaamste doel is het datalek te melden op een dergelijke manier dat je zelf niet meteen de zwarte piet toegeschoven krijgt EN dat het bedrijf op een correcte manier afhandeld (lees: niet wegmoffelt en geen melding doet bij de AP)

Conclusie: Doe nu vooral niets meer en laat de boel de boel want gezien je tijdens je onderzoekje per ongeluk iets te ver gegaan bent maak je nu je inmiddels kans op een dikke vette boete en een strafblad. En is dat het waard?

[ Voor 97% gewijzigd door Steephh op 20-04-2017 08:41 ]

[Thralas]

Croga schreef op donderdag 20 april 2017 @ 07:59:
en dat je verplicht bent het bij het bedrijf te melden.

Je bent als particulier helemaal nergens toe verplicht. Enkel het bedrijf zelf is verplicht dit te melden bij de AP (ongetwijfeld te classificeren als datalek).

Meteen naar een journalist stappen is nooit de juiste weg.

En hier zit (ongeveer) wel de crux van het 'probleem' dat men altijd roept dat 'eerlijke beveiligingsonderzoekers' altijd verketterd worden terwijl zo o-zo-goed werk doen.

Het probleem is dat men (terecht) zaken probeert aan te kaarten, maar zodra daarbij ook maar de schijn van dwang bij komt kijken moet je er niet vreemd van opkijken als het bedrijf z'n afdeling legal raadpleegt.

Naar een journalist stappen (tenzij je HEEL zeker weet dat je toch niet een klein beetje buiten de lijntjes hebt gekleurd) duwt het bedrijf al snel in de slachtofferrol, een publieke reactie dat men aangifte heeft gedaan is dan geen vreemde.

Then again, hoewel Croga goed verwoord dat een rechter een hoop zaken afweegt (zie ook de zaak Krol), is het voorkomen van 'problemen' heel simpel: don't talk to journalists, en maak geen dreigementen.

Binnen een bedrijf is altijd wel iemand te vinden die de ernst van de kwestei wel inziet. Het is helaas vrijwel nooit de klantenservice, dus enige vasthoudendheid is geboden. Zoek een security contact (al dan niet via LinkedIn), of mail iemand bovenin de boom (it works).

(en dat is waar 'men' de fout ingaat, klantenservice reageert niet -> bel Brenno de Winter terwijl je de halve database al had liggen -> jailtime).

[Gomez12]

Steephh schreef op donderdag 20 april 2017 @ 08:20:
Ik denk overigens dat TS weinig / geen ervaring heeft met hoe te handelen in een dergelijke situatie, mede omdat je ziet dat Google/FB riante vergoedingen geeft bij het vinden van een hack.

Google/FB geven helemaal niet zulke riante vergoedingen hoor. Vanwege de regels die ze er zelf omheen gezet hebben geven ze in minder dan 1% van de meldingen een vergoeding (en dan is die meestal nog extreem klein), dat je een paar keer per jaar een riante vergoeding op news-sites voorbij ziet vliegen zegt niets.

Conclusie: doe vooral niets want gezien je tijdens je onderzoekje per ongeluk iets te ver gegaan bent maak je nu je inmiddels kans op een dikke vette boete en een strafblad.

Nope, voornamelijk dat het de toon is die de muziek maakt. Juist ook bij de Google/FB bug hunting programs is het aan Google/FB om jou het geld te geven, er is geen zekerheid, er is geen onderhandeling, er is geen gijzeling van de info totdat de compensatie overeengekomen is.
Je moet daar gewoon de bug dumpen en als hun het goed genoeg vinden dan kan je een compensatie krijgen.
Maar dat is bij lange na niet een compensatie voor je tijd.

Het een beetje schimmig via-via proberen te spelen en je door vrienden op laten stoken tot het moeten krijgen van een compensatie, tja als je die zwaar onvriendelijke weg inslaat dan kan je een zwaar onvriendelijk antwoord terug verwachten.

Het hangt er allemaal maar van af waarom het je gaat :
- Gaat het je om het eruithalen van de bug : Meld het gewoon direct desnoods met een tijdsclausule richting AP etc voor de zekerheid.
- Gaat het je om de compensatie : Overhandig niets totdat je overeenkomst hebt over je compensatie.

En het is niet direct gemeld.

[NiGeLaToR]

Allereerst complimenten voor @hell4you dat je dit niet direct misbruikt of publiceert zodat een ander het kan misbruiken. Het lijkt zo gewoon, om misbruik van missers in IT systemen te maken, maar dat is het uiteraard niet.

Gezien de aard en omvang van het probleem zou ik wat bewijs in de vorm van screenshots verzamelen en het bedrijf direct informeren via e-mail of contactformulier. Vermeld even dat je ter goeder trouw op zoek was naar jouw order - sommige bedrijven kunnen ook in 2017 nogal agressief reageren als je ze wijst op een door hun gemaakte fout. Ga er niet vanuit, maar laat daarom je intenties goed blijken - zodat ze je niet gaan betichten van computervredebreuk ofzo.

Verder is dit zover ik kan beoordelen op basis van wat je deelt wel een item wat gemeld moet worden bij de AP, waarbij je dit eventueel als je denkt dat het bedrijf het zelf niet gaat doen ook zelf kunt doen. De reden om dit te doen is eenvoudig: security en privacy in de toekomst verbeteren voor iedereen.

Qua compensatie geef ik je de meeste kans als je je opstelt zoals je nu doet: behulpzaam, attent en goed bedoelend. Je voorkomt in potentie een flink imago probleem, dus dat ze je dankbaar mogen zijn is wel duidelijk. Als je het zoals wordt gesuggereerd gaat 'eisen', dan kun je wel een wat formelere houding verwachten - helaas worden bedrijven tegenwoordig vrijwel dagelijks bestookt met klachten en reacties van mensen die menen datalekken te zien en te dreigen met meldingen en publiciteit als ze niet gecompenseerd worden. Opportunisme is een soort tweede natuur bij de mondige klant. Doorgaans is het onwetendheid, stupiditeit en onkunde van mensen zelf en is er helemaal geen sprake van datalekken, maar zorgt er wel voor dat je wellicht niet direct serieus genomen hoeft te worden.

@Gomez12 zoals ik het zie vind ik dat TS nog niet direct te ver is gegaan - hij heeft alleen zijn vermoeden bevestigd. Hoe hij dat exact heeft gedaan is wellicht te ver gegaan, maar snap ook wel dat als je eenmaal beet hebt je je hypothese ook wel bevestigd wil zien. Zaak is nu vooral: melden, bedrijf helpen dit probleem op te lossen en hopen op erkenning. Hij kan als hij zich in de kou gezet voelt altijd nog een krant bellen. Zou ik zelf niet doen, maarja.. iedereen is anders.

[ Voor 11% gewijzigd door NiGeLaToR op 20-04-2017 08:59 ]

[AlxRoelofs]

NiGeLaToR schreef op donderdag 20 april 2017 @ 08:56:
Vermeld even dat je ter goeder trouw op zoek was naar jouw order - sommige bedrijven kunnen ook in 2017 nogal agressief reageren als je ze wijst op een door hun gemaakte fout.

Vraag me wel af hoe ze dit willen doen dan.

Als ik aangeef dat ik een data lek heb gevonden en dat ik graag met de in contact wil komen maar ze reageren agressief, begrijp je natuurlijk wel dat het complete lek inclusief data op straat komt te liggen.

Vraag me dus af waarom een webwinkel zichzelf dat aan zou doen.

[mutsje]

Als TS niet rechtstreeks met de winkel in contact wil komen wegens claimen / agressief beleid kan het altijd nog via NCSC gespeeld worden. Die fungeren dan als tussenpartij waardoor je als aanmelder goed afgeschermd bent. Kijk ook eens of ze een melding formulier op hun site hebben om bugs aan te melden. Meeste grote sites hebben dit namelijk en hier zal niet staan meld een bug en je krijgt een reward (dat trekt namelijk alleen maar 'ethical hackers' en bughunters. Verder zie ik in dit topic een shipsload aan aannames wat TS allemaal wel niet kan/moet doen etc en wordt er druk gespeculeerd, echter mis ik de antwoorden hierop van de TS.
Verder inderdaad slim om eerst even een topic te openen, er zijn al genoeg lui die zich gebrand hebben en aangeklaagd zijn door een bedrijf. Genoeg voorbeelden te vinden hier op GOT.

[Gomez12]

AlxRoelofs schreef op donderdag 20 april 2017 @ 09:02:
[...]
Als ik aangeef dat ik een data lek heb gevonden en dat ik graag met de in contact wil komen maar ze reageren agressief, begrijp je natuurlijk wel dat het complete lek inclusief data op straat komt te liggen.

Vraag me dus af waarom een webwinkel zichzelf dat aan zou doen.

Wat is er mis met het simpelweg melden van de bug inclusief reproductie etc. zonder dat je maar enig menselijk contact hebt gehad.

Als de bug belangrijk genoeg is neemt het hoofd security oid wel contact met jou op.
Waarom moet het fixen van die bug wachten op een personeelslid wat op vakantie kan zijn, wat een extreem drukke agenda heeft deze maand, etc. etc.

Ik vind het echt schrikbarend bij hoeveel mensen een compensatie / klopje op de schouder / "goed gedaan jochie" blijkbaar belangrijker is dan dat de bug zelf gefixed wordt.

[NiGeLaToR]

AlxRoelofs schreef op donderdag 20 april 2017 @ 09:02:
[...]

Vraag me wel af hoe ze dit willen doen dan.

Als ik aangeef dat ik een data lek heb gevonden en dat ik graag met de in contact wil komen maar ze reageren agressief, begrijp je natuurlijk wel dat het complete lek inclusief data op straat komt te liggen.

Vraag me dus af waarom een webwinkel zichzelf dat aan zou doen.

Eens, ik denk ook dat het niet slim is - maar je zal als melder niet de eerste zijn die zelf in het beklagdenbankje terecht komt.

Gomez12 schreef op donderdag 20 april 2017 @ 09:28:
[...]

Wat is er mis met het simpelweg melden van de bug inclusief reproductie etc. zonder dat je maar enig menselijk contact hebt gehad.

Als de bug belangrijk genoeg is neemt het hoofd security oid wel contact met jou op.
Waarom moet het fixen van die bug wachten op een personeelslid wat op vakantie kan zijn, wat een extreem drukke agenda heeft deze maand, etc. etc.

Ik vind het echt schrikbarend bij hoeveel mensen een compensatie / klopje op de schouder / "goed gedaan jochie" blijkbaar belangrijker is dan dat de bug zelf gefixed wordt.

Dat is wat ik bedoel met het opportunistische gedrag van mensen. Als mijn buren hun sleutel in de buitendeur laten steken dan trek ik hem eruit en stuur ik ze een berichtje als ze niet thuis zijn. Dan verwacht ik geen bloemenkransen of standbeeld. Doe je gewoon. Maargoed, TS heeft z'n zinnen gezet op 'compensatie' en loopt daarmee tegelijk ook het risico inderdaad niet als brave burger te worden behandeld. Tis een verkapte vorm van afpersing als hij niet uit kijkt.

[Gomez12]

mutsje schreef op donderdag 20 april 2017 @ 09:28:
Verder zie ik in dit topic een shipsload aan aannames wat TS allemaal wel niet kan/moet doen etc en wordt er druk gespeculeerd,

Lol en dan zelf met NCSC op de proppen komen... Ik moet toegeven, ik vind hem ironisch

NCSC heeft hier niets in te zoeken (of TS moet zichzelf willen aangeven maar dan is hij te klein voor NCSC).
AP is de enige juiste instantie want dat is het enige wat relevant is, de persoonsgegevens.

Dat je een leveradres bij een winkel kan wijzigen is op zich geen probleem (behalve voor die winkel zelf) zolang de persoonsgegevens maar geanonimiseerd zijn

[Croga]

AlxRoelofs schreef op donderdag 20 april 2017 @ 09:02:
Als ik aangeef dat ik een data lek heb gevonden en dat ik graag met de in contact wil komen maar ze reageren agressief, begrijp je natuurlijk wel dat het complete lek inclusief data op straat komt te liggen.

En jij begrijpt dan ook dat je er rekening mee moet houden dat ze nog onvriendelijker met je om gaan en de rechter daarna ook niet echt vriendelijk gaat zijn.

Zeker als je het volledig openbaar maakt, inclusief data. Er zit een redelijke kans in dat het bedrijf schade ondervind en een nog redelijkere kans dat jij achter slot en grendel gaat.

[gielie]

Het enige wat je kan doen is melden, verder niks. Niet openbaar maken, niet misbruiken.
Vergelijk het met een fiets die niet op slot staat, enige wat je mag doen is de eigenaar hier op attenderen, je mag hem niet mee nemen (misbruiken) of iemand anders erop wijzen dat er een fiets niet op slot staat.(openbaar maken van het lek) hierdoor ben je medeplichtig.

Wat de eigenaar van de fiets (webwinke)l hier verder mee doet moet hij zelf weten.

[sorted.bits]

Ik ben het eens met de mensen die roepen dat het strafbaar is. Ok, gewoon rondkijken klinkt nog redelijk onschuldig, maar in zijn verhaalt noemt TS ook dat je gegevens kan wijzigen. Voordat je dat kan roepen heb je dit, neem ik aan, ook geprobeerd.

Dat valt sowieso onder computervredebreuk.

[Steephh]

Wat ik gewoon NIET begrijp is dat men hier alleen maar uit gaat van het slechtste in de mens en er maar vanuit blijft gaan dat TS puur en alleen uit is om financieel gewin / compensatie. Als dat zo was dan had jij beter de data kunnen scrapen en op de zwarte markt kunnen verkopen. Waarschijnlijk had hij hier dan niet eens gepost...

Zijn intentie is dat helemaal niet. Toch blijft men hier maar op terugvallen. En hier een topic over openen lijkt me niet bepaald een slecht idee geweest gezien de houding van velen hier. Het is strafbaar, je mag uberhaupt blij zijn als je niet aangeklaagd wordt.. Als bedrijven dezelfde houding hebben dan krijg je een bak ellende over je heen puur omdat je per TOEVAL!!!! op data gestuit bent terwijl je op zoek was naar je eigen order en ter verificatie dat checkt met een bestaande order van je ouders.

Mijn mening: bedrijven zouden blij mogen zijn dat mensen uberhaupt de moeite nemen om dit te melden. Ik als directeur zou er niet aan denken om een persoon die me op een dergelijk probleem wijst in mijn weborder aan te klagen, laat staan er niet een (al dan niet kleine) leuke vergoeding te geven (uiteraard NIET vooraf, maar als bedankje ACHTERAF, zonder dat die persoon er uberhaupt om gevraagd heeft).

Maar goed, blijkbaar is dat niet de insteek. Nee, laten we de melder helemaal kapot slopen want obscurity is security. Totdat er een keer een persoon met kwaad in de zin langskomt..

sorted.bits schreef op donderdag 20 april 2017 @ 09:59:
Ik ben het eens met de mensen die roepen dat het strafbaar is. Ok, gewoon rondkijken klinkt nog redelijk onschuldig, maar in zijn verhaalt noemt TS ook dat je gegevens kan wijzigen. Voordat je dat kan roepen heb je dit, neem ik aan, ook geprobeerd.

Dat valt sowieso onder computervredebreuk.

Dat hoeft toch helemaal niet... Je kan dit toch prima testen bij je eigen order (door daar je gegevens te wijzigen zonder in te loggen).

gielie schreef op donderdag 20 april 2017 @ 09:48:
Het enige wat je kan doen is melden, verder niks. Niet openbaar maken, niet misbruiken.
Vergelijk het met een fiets die niet op slot staat, enige wat je mag doen is de eigenaar hier op attenderen, je mag hem niet mee nemen (misbruiken) of iemand anders erop wijzen dat er een fiets niet op slot staat.(openbaar maken van het lek) hierdoor ben je medeplichtig.

Wat de eigenaar van de fiets (webwinke)l hier verder mee doet moet hij zelf weten.

Nee dat moet hij niet zelf weten. Sinds 1 Januari 2016 bestaat er een meldplicht voor datalekken.

https://autoriteitpersoon...ing/meldplicht-datalekken

[ Voor 17% gewijzigd door Steephh op 20-04-2017 10:16 ]

[Dirk van Bergen]

Steephh schreef op donderdag 20 april 2017 @ 08:20:


Conclusie: Doe nu vooral niets meer en laat de boel de boel want gezien je tijdens je onderzoekje per ongeluk iets te ver gegaan bent maak je nu je inmiddels kans op een dikke vette boete en een strafblad. En is dat het waard?

Lijkt me dat zelfs de meest basic webserver een logje moet kunnen reproduceren van welke URLs er vanaf welk IP zijn geraadpleegt. Daar kan je goed zien welke nummers de TS van andere klanten heeft geprobeerd. Koppel dat aan de order die van dat IP is geplaatst en je weet precies wie het is en dan is TS alsnog de Sjaak.

Conclusie: Gewoon netjes melden, niet via (alleen) mail, probeer via klantenservice of ander telefoonnummer op de site met iemand van IT te praten.

[P_Tingen]

Ik vind dat er ook nogal aardig op TS wordt ingehakt eerlijk gezegd. Als ik in zijn schoenen stond, dan zou ik me ook even afvragen of hier nog een vergoeding of iets dergelijks tegenover zou staan. Ik bedoel: waarom niet? Stel je voor dat de retailer een beleid heeft dat dit soort meldingen met duizend euro beloond worden, waarom zou je dat dan laten lopen? Ik wil de tweakers hier nog zien die dan tegen de retailer zouden zeggen: "ach, weet je, laat maar joh".

Doordat er in veel reacties op teruggekomen wordt, lijkt het alsof TS alléén maar op het geld uit is, maar als je de thread terugleest dan valt dat best mee.

OT: mijn advies is datzelfde als wat al een paar keer is gegeven en goed is verwoord door mijn bovenbuurman

[ Voor 8% gewijzigd door P_Tingen op 20-04-2017 10:48 ]

[Steephh]

P_Tingen schreef op donderdag 20 april 2017 @ 10:47:
Ik vind dat er ook nogal aardig op TS wordt ingehakt eerlijk gezegd. Als ik in zijn schoenen stond, dan zou ik me ook even afvragen of hier nog een vergoeding of iets dergelijks tegenover zou staan. Ik bedoel: waarom niet? Stel je voor dat de retailer een beleid heeft dat dit soort meldingen met duizend euro beloond worden, waarom zou je dat dan laten lopen? Ik wil de tweakers hier nog zien die dan tegen de retailer zouden zeggen: "ach, weet je, laat maar joh".

Doordat er in veel reacties op teruggekomen wordt, lijkt het alsof TS alléén maar op het geld uit is, maar als je de thread terugleest dan valt dat best mee.

OT: mijn advies is datzelfde als wat al een paar keer is gegeven en goed is verwoord door mijn bovenbuurman

Mooi samengevat. Ik denk ook dat die insteek de beste is. Daarmee kom je het verste en kweek je denk ik ook het meeste goodwill.

Met als wijze les: niet iedereen waardeert het als je (met goede bedoelingen!) een (bij toeval ontdekt) lek blootlegt bij een bedrijf, dek je dus vooral in en raadpleeg eventueel je rechtsbijstand/advocaat alvorens het lek daadwerkelijk te melden. Je hebt als burger zelf totaal geen meldplicht, laat staan dat het direct gemeld zou moeten worden.

[Gomez12]

P_Tingen schreef op donderdag 20 april 2017 @ 10:47:
Ik vind dat er ook nogal aardig op TS wordt ingehakt eerlijk gezegd. Als ik in zijn schoenen stond, dan zou ik me ook even afvragen of hier nog een vergoeding of iets dergelijks tegenover zou staan. Ik bedoel: waarom niet? Stel je voor dat de retailer een beleid heeft dat dit soort meldingen met duizend euro beloond worden, waarom zou je dat dan laten lopen? Ik wil de tweakers hier nog zien die dan tegen de retailer zouden zeggen: "ach, weet je, laat maar joh".

Het punt is juist dat als de retailer dat beleid heeft, dat dat gewoon uitgevoerd wordt en dat je dus die 1000 euro gewoon krijgt. Hoef je niet over na te denken, hoef je niet na te vragen, hoef je niet voor te wachten met melden, hoef je geen persoon voor te spreken.

Hoef je alleen maar uit eigen naam de melding te doen. Dat is waarom zoiets beleid genoemd wordt...

[Steephh]

Gomez12 schreef op donderdag 20 april 2017 @ 13:02:
[...]

Het punt is juist dat als de retailer dat beleid heeft, dat dat gewoon uitgevoerd wordt en dat je dus die 1000 euro gewoon krijgt. Hoef je niet over na te denken, hoef je niet na te vragen, hoef je niet voor te wachten met melden, hoef je geen persoon voor te spreken.

Hoef je alleen maar uit eigen naam de melding te doen. Dat is waarom zoiets beleid genoemd wordt...

Daar heb je gelijk in. Nietemin mag er imho best over gediscusieerd worden of het compensatie waardig is, niet dat het als eis gesteld wordt vanuit de melder, wel hoe hier mee omgegaan zou mogen worden vanuit een bedrijf. In de trant van:

hell4you schreef op donderdag 20 april 2017 @ 04:08:
Het is een ethisch of moreel vraagstuk. Oftewel: "Doe je zoiets?"

En natuurlijk mag het niet zo zijn dat je even alle data scraped en vervolgens zegt: "Ja maar ik bedoel het goed", maar enkele (2-3) andere ordernummers openen om je hypothese te bevestigen vind ik persoonlijk niet direct te ver gaan.

[ Voor 11% gewijzigd door Steephh op 20-04-2017 14:01 ]

[Palomar]

Ik zou het gewoon melden bij de webshop en tussen neus en lippen door vermelden dat je binnenkort een nieuwe telefoon model bladiebla wilt kopen en wilt weten of het nog wel vertrouwd is om dat via hun te doen vanwege de beveiliging van hun gegevens.

Heb je iig een mooie voorzet gegeven dat ze je kunnen belonen met die telefoon of een leuke korting daarop

Een beloning eisen kun je wel vergeten.

[Dunky555]

Steephh schreef op donderdag 20 april 2017 @ 10:12:
Wat ik gewoon NIET begrijp is dat men hier alleen maar uit gaat van het slechtste in de mens en er maar vanuit blijft gaan dat TS puur en alleen uit is om financieel gewin / compensatie. Als dat zo was dan had jij beter de data kunnen scrapen en op de zwarte markt kunnen verkopen. Waarschijnlijk had hij hier dan niet eens gepost...

Dit dus.

En wat een harde reacties hier zeg, dit had ik niet verwacht moet ik eerlijk zeggen. Er zitten mensen bij die zo te lezen cum laude afgestudeerd zijn in de advocatuur op IT gebied en van te voren al kunnen invullen wat de uitkomst gaat zijn terwijl de TS net één mailtje heeft gestuurd en nu vraagt hoe te handelen. Netjes!

Ik weet nu iig wel wat ik zou doen, mijn account verwijderen en de boel de boel laten! Je zou maar zo'n harde treffen zoals hier gereageerd wordt! Ben je bedankt met een hoop gelazer met je goede bedoelingen.

Edit: wel even melden bij AP trouwens.

[ Voor 4% gewijzigd door Dunky555 op 20-04-2017 14:41 ]

[MrAngry]

Je zou even kunnen kijken of er bij hackerone een bug bounty program loopt.

[Martin Sturm]

MrAngry schreef op donderdag 20 april 2017 @ 14:17:
Je zou even kunnen kijken of er bij hackerone een bug bounty program loopt.

Het enige is dat hij door een reeks klant/ordernummers te proberen zijn kans op een Bounty vrijwel volledig heeft vergooid of in ieder geval de hoogte aanzienlijk heeft verminderd. Zelfs Facebook en Google keren alleen uit als je de richtlijnen van responsible disclosure hanteert, en dat houdt dus in dat je alleen datgeen doet wat je nodig hebt om de ernst en de impact van het issue te bepalen. Hij heeft duidelijk meer gedaan en is doorgegaan nadat hij al de impact weet.

[42dpi]

Dunky555 schreef op donderdag 20 april 2017 @ 14:09:
[...]

Dit dus.

En wat een harde reacties hier zeg, dit had ik niet verwacht moet ik eerlijk zeggen. Er zitten mensen bij die zo te lezen cum laude afgestudeerd zijn in de advocatuur op IT gebied en van te voren al kunnen invullen wat de uitkomst gaat zijn terwijl de TS net één mailtje heeft gestuurd en nu vraagt hoe te handelen. Netjes!

Nee TS heeft dit gestuurd

hell4you schreef op donderdag 20 april 2017 @ 01:44:


Ik heb dit op het werk eens besproken en een collega kende iemand die bij die zaak wat hoger in de boom zat, maar niet direct verantwoordelijk voor IT. Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden".

Als ik dit binnen zou krijgen als ''verantwoordelijke'' zou ik denken ''oh leuk een raadspelletje ''
Deze mail is geen kennisgeving maar wachten op een reactie en wat TS al vaker aan gaf hopen op een inhaak voor vergoeding.

[Steephh]

42dpi schreef op donderdag 20 april 2017 @ 19:29:
[...]


Nee TS heeft dit gestuurd


[...]


Als ik dit binnen zou krijgen als ''verantwoordelijke'' zou ik denken ''oh leuk een raadspelletje ''
Deze mail is geen kennisgeving maar wachten op een reactie en wat TS al vaker aan gaf hopen op een inhaak voor vergoeding.

Ik vermoed overigens dat dat puur is een ingang te vinden naar de juiste verantwoordelijke persoon om dit aan te melden. Maak gebruik van je netwerk... Als voorbeeld: jij bij bedrijf X wil komen werken en een vriend/collega van je kent iemand daar, dan probeer je toch ook via die persoon binnen te komen? Dan heb je vaak een directere ingang dan wanneer je het via de voordeur probeert. En ik vermoed dat wanneer TS dit contact niet had hij anders wel een poging had gedaan via de klantenservice / contactformulier / etc.

En natuurlijk wordt weer de vergoeding ter sprake gebracht ( ), maar als je even goed nadenkt, zo gek is het niet om een insider te pakken proberen te krijgen. Het is best wel een flink datalek, dan wil je toch niet direct aan de voordeur droppen met de melding "zoek het maar uit"? Je hebt totaal idee langs welke mensen een dergelijk bericht gaat alvorens bij de juiste persoon terecht te komen.

Sterker nog: ik denk dat een verantwoordelijk persoon het erg prettig zal vinden dat dit direct aan hem gemeld zal worden.

[42dpi]

Steephh schreef op donderdag 20 april 2017 @ 21:22:
[...]


Ik vermoed overigens dat dat puur is een ingang te vinden naar de juiste verantwoordelijke persoon om dit aan te melden. Maak gebruik van je netwerk... Als voorbeeld: jij bij bedrijf X wil komen werken en een vriend/collega van je kent iemand daar, dan probeer je toch ook via die persoon binnen te komen? Dan heb je vaak een directere ingang dan wanneer je het via de voordeur probeert. En ik vermoed dat wanneer TS dit contact niet had hij anders wel een poging had gedaan via de klantenservice / contactformulier / etc.

Vermoed vermoed, praat minder uit je nek aub

Steephh schreef op donderdag 20 april 2017 @ 21:22:
[...]
En natuurlijk wordt weer de vergoeding ter sprake gebracht ( ), maar als je even goed nadenkt, zo gek is het niet om een insider te pakken proberen te krijgen.

Of je kan niet lezen of hebt oogkleppen ten grote van luchtballonnen op, Dit is wat TS wil, dit bevestigen meerderen mensen jij bent de enige die zegt dat die dat ''anders'' bedoeld.

Er wordt letterlijk beschreven

hell4you schreef op donderdag 20 april 2017 @ 01:44:
Daarbij geven vrienden aan: "Je bent gek als je niet zorgt dat je je bestelling voor niks krijgt!"

hell4you schreef op donderdag 20 april 2017 @ 01:44:
Nou verwacht ik niet direct een beloning voor deze vondst, maar misschien is een compensatie voor mijn tijd die ik erin heb gestopt

hell4you schreef op donderdag 20 april 2017 @ 04:08:
Vervolgens lever ik een stukje onderzoek en advies op. Mijn mening is dat dit werkzaamheden in het belang van het bedrijf zijn,

hell4you schreef op donderdag 20 april 2017 @ 02:07:
Ik wil puur toetsen of ik mezelf tekort doe om het werk wat zij eigenlijk vooraf al hadden moeten doen maar gratis op een briefje moet overhandigen.

En dan wil jij blijven beweren dat TS goedheidzelf is en geen compensatie verlangt
=

Steephh schreef op donderdag 20 april 2017 @ 21:22:
[...]Het is best wel een flink datalek, dan wil je toch niet direct aan de voordeur droppen met de melding "zoek het maar uit"? Je hebt totaal idee langs welke mensen een dergelijk bericht gaat alvorens bij de juiste persoon terecht te komen.

Sterker nog: ik denk dat een verantwoordelijk persoon het erg prettig zal vinden dat dit direct aan hem gemeld zal worden.

?!!? Hoezo zou je dat niet direct willen vertellen je geeft zelf aan dat het zorgelijk is, maar dan moet het maar via de secretaresse van de kantine juffrouw van de schoonmaker 3 straten verderop omdat de IT verantwoordelijke dan rust aan kan wennen dat het systeem lek is....


Je spoort nu aan dat iedereen als die iets vindt maar eerst moet kijken of die er zelf beter van wordt, en dat vind ik zeer verwerpelijk en daarom reageer ik en niet alleen zo fel.

[ Voor 7% gewijzigd door 42dpi op 20-04-2017 21:50 ]

[Steephh]

42dpi schreef op donderdag 20 april 2017 @ 21:42:
[...]


Vermoed vermoed, praat minder uit je nek aub


[...]


Of je kan niet lezen of hebt oogkleppen ten grote van luchtballonnen op, Dit is wat TS wil, dit bevestigen meerderen mensen jij bent de enige die zegt dat die dat ''anders'' bedoeld.

Ik ben niet de enige, er zijn meerdere mensen die (na meer dan alleen de TS te hebben gelezen) vinden dat iedereen wel erg heftig reageert. Nogmaals: als de TS hier écht een financieel slaatje uit wil slaan, dan zou hij met het openen van een topic hier toch zichzelf mee in de vingers snijden?

"Dit is wat de TS wil" <- enkel omdat meerdere mensen het bevestigen? Zijn dat dan kennissen van de TS? Of mensen die bij de zaak betrokken zijn? Just saying....

Er wordt letterlijk beschreven


[...]


[...]


[...]


[...]


En dan wil jij blijven beweren dat TS goedheidzelf is en geen compensatie verlangt
=

Zie je zijn voorzichtige bewoordingen? Hij zegt notabene uiteindelijk nog:

Indien ik dit doorzet zal mijn vraag aan de retailer ook zijn om dit werk te beoordelen en zelf de hoogte van de eventuele compensatie te kiezen. Ik ga hier niet over onderhandelen.

Ik heb zelf deze twee woorden even vet gedrukt om het punt duidelijk te maken.

[...]


?!!? Hoezo zou je dat niet direct willen vertellen je geeft zelf aan dat het zorgelijk is, maar dan moet het maar via de secretaresse van de kantine juffrouw van de schoonmaker 3 straten verderop omdat de IT verantwoordelijke dan rust aan kan wennen dat het systeem lek is....

Hij heeft het met een collega besproken en die gaf aan dat hij iemand kende die wat hoger in de boom zat (waarschijnlijk iemand met een management functie). Dan is dat toch een veel logischere keuze? Ik vraag me serieus af hoe je aan deze onzin komt..

Je spoort nu aan dat iedereen als die iets vindt maar eerst moet kijken of die er zelf beter van wordt, en dat vind ik zeer verwerpelijk en daarom reageer ik en niet alleen zo fel.

Absoluut niet. Ik probeer wel de gedachtengang van de TS te begrijpen en kan daar wel enige logica in vinden, ik zou zelf waarschijnlijk ook niet direct het via de voordeur spelen. De kans dat het backfired lijkt me namelijk veel groter dan wanneer je persoonlijk contact zoekt met een verantwoordelijke.

Uit eigen ervaring kan ik zeggen dat de klantenservice wel wat beter te doen heeft dan dergelijke security meldingen door te spelen. Vaak wordt de boot afgehouden en dien je flink wat door te zetten om bij de juiste persoon terecht te komen. Ik heb het in mijn geval dan ook opgegeven, indien het zo'n gezever is, dan laat maar.

[ Voor 21% gewijzigd door Steephh op 20-04-2017 21:59 ]

[Gomez12]

Steephh schreef op donderdag 20 april 2017 @ 21:22:
[...]
Ik vermoed overigens dat dat puur is een ingang te vinden naar de juiste verantwoordelijke persoon om dit aan te melden. Maak gebruik van je netwerk... Als voorbeeld: jij bij bedrijf X wil komen werken en een vriend/collega van je kent iemand daar, dan probeer je toch ook via die persoon binnen te komen?

Ergens komen werken is geen kwestie van minuten / uren / dagen maar eerder weken. Oftewel je hebt de tijd.

Kan je een lek als dit, waarbij je een 100% handleiding geeft maar enkel de bedrijfsnaam niet noemt (ik vermoed dat er al een aantal tweakers een aantal websites hebben geprobeerd gewoon even kijken of het de keten is waar zij laatst iets gekocht hebben), weken open blijven staan?

Het is best wel een flink datalek, dan wil je toch niet direct aan de voordeur droppen met de melding "zoek het maar uit"?

Dat "zoek het maar uit" dat is jouw bewoording. Er gaat geen enkel verantwoordelijk persoon een zinnig gesprek voeren met iemand die enkel maar zegt "Zoek het maar uit".
Als jij het gewoon netjes aan de voordeur dropt tav hoofd it security met een extra tag "dringend mogelijk data lek" dan ligt het bij een regulier bedrijf binnen een kwartier op het bureau van iemand die er iets mee kan, of dat nu een junior sysbeheerder is of de CTO zelf dat is niet belangrijk, terwijl jouw netwerk gaat mikken voor de CTO die 3 weken golfen is.

Indien ik dit doorzet zal mijn vraag aan de retailer ook zijn om dit werk te beoordelen en zelf de hoogte van de eventuele compensatie te kiezen. Ik ga hier niet over onderhandelen.

Je kan vet-drukken wat je wil maar het verandert niets aan het feit dat hij feitelijk vraagt om een compensatie. (Hij geeft enkel maar aan dat die ook nul mag zijn)
Die hele vraag is gewoon een no-go. En zeker in deze vorm gesteld.
In wezen vraagt de TS dus aan de retailer om zijn werk te beoordelen (de retailer kan uit goed fatsoen amper zeggen dat het broddelwerk is want het heeft hem een mogelijke blamage bespaart), om daarna over een compensatie te beginnen (uit goed fatsoen kan de retailer bijna niet meer het werk als goed beoordelen en er geen compensatie voor geven)

Steephh schreef op donderdag 20 april 2017 @ 21:53:
[...]
Hij heeft het met een collega besproken en die gaf aan dat hij iemand kende die wat hoger in de boom zat (waarschijnlijk iemand met een management functie). Dan is dat toch een veel logischere keuze?

Lol, datalekken aan een management uit gaan leggen dat gaat het hem echt niet worden. Compensatie regelingen ja, die kan je met managers bespreken.
Maar inhoudelijke dingen moet je bespreken met mensen met inhoudelijke kennis van zaken (en dat zijn praktisch nooit managers want die worden betaald om mensen met inhoudelijke kennis te managen en niet om zelf inhoudelijke kennis te hebben/bij te houden).

Maar ondertussen zou het mij al niets meer verbazen als een paar scriptkiddies de handleiding van TS gevolgd hebben, het hele klantenbestand gescraped hebben en nu op zoek naar kopers voor die database.
Maar hulde aan TS hoor, want ipv direct te handelen zijn er dagen overheen gegaan terwijl zijn kennis op zoek was naar iemand in een management functie...

[Steephh]

Gomez12 schreef op donderdag 20 april 2017 @ 23:05:
[...]

Ergens komen werken is geen kwestie van minuten / uren / dagen maar eerder weken. Oftewel je hebt de tijd.

Kan je een lek als dit, waarbij je een 100% handleiding geeft maar enkel de bedrijfsnaam niet noemt (ik vermoed dat er al een aantal tweakers een aantal websites hebben geprobeerd gewoon even kijken of het de keten is waar zij laatst iets gekocht hebben), weken open blijven staan?

Nope. Maar is er een tijdsdruk en een meldplicht voor jezelf als burger? Nope. Dan kies ik zelf liever voorspelbare gang van zaken.

[...]

Dat "zoek het maar uit" dat is jouw bewoording. Er gaat geen enkel verantwoordelijk persoon een zinnig gesprek voeren met iemand die enkel maar zegt "Zoek het maar uit".
Als jij het gewoon netjes aan de voordeur dropt tav hoofd it security met een extra tag "dringend mogelijk data lek" dan ligt het bij een regulier bedrijf binnen een kwartier op het bureau van iemand die er iets mee kan, of dat nu een junior sysbeheerder is of de CTO zelf dat is niet belangrijk, terwijl jouw netwerk gaat mikken voor de CTO die 3 weken golfen is.

Ik heb zelf andere ervaringen... Er werd in eerste instantie zelfs zeer geirriteerd gereageerd (en ik heb het netjes geformuleerd) en even later "ja we sturen het door naar IT, je hoort er nog van". Meerdere keren achteraan gezeten maar nooit meer iets van gehoord.

[...]

Je kan vet-drukken wat je wil maar het verandert niets aan het feit dat hij feitelijk vraagt om een compensatie. (Hij geeft enkel maar aan dat die ook nul mag zijn)
Die hele vraag is gewoon een no-go. En zeker in deze vorm gesteld.
In wezen vraagt de TS dus aan de retailer om zijn werk te beoordelen (de retailer kan uit goed fatsoen amper zeggen dat het broddelwerk is want het heeft hem een mogelijke blamage bespaart), om daarna over een compensatie te beginnen (uit goed fatsoen kan de retailer bijna niet meer het werk als goed beoordelen en er geen compensatie voor geven)

Volgens mij wilde hij vooral peilen hoe men er in het algemeen over denkt, als een soort van ethisch / moreel vraagstuk. De tendens is in ieder geval duidelijk en denk ook zelf dat je slechts het beste kan hopen als melder dat er wat voor je tegenover staat. Maar dat moet zeker niet het doel zijn.

Blijft het punt wel staan dat sommige Tweakers vinden dat het tegen strafbaar aan zit, mogelijk zelfs eroverheen en TS het liefst voor een rechter zien verschijnen en veroordeeld zien worden. Prima, dat mogen ze vinden.

Wat ik dan wel interessant vind: Waarom zou je überhaupt dan nog een risico nemen om het lek te melden? Want je snijdt je zelf in de vingers als niet alleen deze Tweakers, maar ook de desbetreffende bedrijven er zo over denken.

En dan krijg je dus de situatie waarin lekken nooit gemeld zullen worden en pas wanneer iemand met kwaad in de zin dit lek tegenkomt het misbruikt en het bedrijf vervoglens het lek (hopelijk) ontdekt en dicht.

[...]

Lol, datalekken aan een management uit gaan leggen dat gaat het hem echt niet worden. Compensatie regelingen ja, die kan je met managers bespreken.
Maar inhoudelijke dingen moet je bespreken met mensen met inhoudelijke kennis van zaken (en dat zijn praktisch nooit managers want die worden betaald om mensen met inhoudelijke kennis te managen en niet om zelf inhoudelijke kennis te hebben/bij te houden).

Maar ondertussen zou het mij al niets meer verbazen als een paar scriptkiddies de handleiding van TS gevolgd hebben, het hele klantenbestand gescraped hebben en nu op zoek naar kopers voor die database.
Maar hulde aan TS hoor, want ipv direct te handelen zijn er dagen overheen gegaan terwijl zijn kennis op zoek was naar iemand in een management functie...

Mwoah, in dit geval is het wel zo simpel, dat begrijp het gemiddelde management nog wel. Maar inderdaad, zodra het iets lastiger wordt dan moet je het management ook niet met de technische details lastig vallen.

Nergens staat vermeld welke keten het is, wie zegt trouwens überhaupt dat het een keten is? Als ik de TS was zou ik specifieke details achterwege laten en mogelijk wat termen omgooien zodat het zéker niet te herleiden valt.

[Kabouterplop01]

Prachtig voorbeeld van een responsible disclosure. Vraag aan de retailer of ze een responsible disclosure beleid hebben en toepassen? Blij zullen ze en wel en niet zijn. Wel vanwege het probleem en niet vanwege dat ze het moeten melden.

[Gomez12]

Steephh schreef op donderdag 20 april 2017 @ 23:52:
[...]
Nope. Maar is er een tijdsdruk en een meldplicht voor jezelf als burger? Nope. Dan kies ik zelf liever voorspelbare gang van zaken.

Ehm ja... Meldplicht benoemt de TS zelf en tijdsdruk creëert hij door een handleiding te schrijven hoe het uit te voeren.

[...]
Ik heb zelf andere ervaringen... Er werd in eerste instantie zelfs zeer geirriteerd gereageerd (en ik heb het netjes geformuleerd) en even later "ja we sturen het door naar IT, je hoort er nog van". Meerdere keren achteraan gezeten maar nooit meer iets van gehoord.

Dat komt omdat jij volgens je eigen methode wilt werken waarbij je een een compensatie / klopje op de schouder / "goed gedaan jochie" wenst te krijgen waarvoor je iemand te spreken moet krijgen.

Wat je niet lijkt te begrijpen is dat het gemiddelde bedrijf geen procedures heeft om buitenstaanders een een compensatie / klopje op de schouder / "goed gedaan jochie" te geven van een manager. Daarom reageren de mensen die met jou praten in 1e instantie geïrriteerd want ze weten niet wat ze met jou aanmoeten en je wilt niet weggaan zonder dat je die compensatie / klopje op de schouder / "goed gedaan jochie" hebt gehad.

Gewoon mailen / online formulier invullen en daarvoor zijn er zat procedures om dat soort dingen hoger in de organisatie te krijgen en snel ook.

[...]
Blijft het punt wel staan dat sommige Tweakers vinden dat het tegen strafbaar aan zit, mogelijk zelfs eroverheen en TS het liefst voor een rechter zien verschijnen en veroordeeld zien worden. Prima, dat mogen ze vinden.

Wat ik dan wel interessant vind: Waarom zou je überhaupt dan nog een risico nemen om het lek te melden? Want je snijdt je zelf in de vingers als niet alleen deze Tweakers, maar ook de desbetreffende bedrijven er zo over denken.

Heb jij een ander topic voor je ofzo? Jij leest echt totaal iets anders als wat er hier de hele tijd gepost wordt.
Zoals jij zelf al eerder postte kan je 2-3 profielen bekijken om te testen of het echt zo erg is.

Daar zit TS al aan met zijn 1e poging
Dan nog 1 poging met een klantnr zonder orders (oh nee wacht, hij zei dat hij er meerdere tegenkwam zonder orders)
Toen 1 met een order.
Toen nog in 1x gokken wat het hoogste klantnr was (oh nee wacht, hier deed hij volgens eigen zeggen ook meerdere keren over)
Dan nog even met 1x inklemmen zijn order naar boven halen (oh nee wacht, het was meerdere keren inklemmen)

Qua absoluut minimum en wat totaal niet overeenkomt met zijn woorden zit hij al op 5 profielen. Vermenigvuldig dat maar gerust met een ruime factor want hij zegt zelf al dat hij er een aantal geprobeerd heeft bij 3 van de 5 stappen.

Het is niet dat ik hem voor het gerecht wil zien, het is niet dat ik geen bug meer gemeld wil zien worden. Alleen deze manier van werken heeft niets meer met fatsoenlijk bug-hunting te maken. Dit gaat gewoon alle perken te buiten.
Oftewel fatsoenlijk bug-hunten en fatsoenlijk melden dat is goed.
Script-kiddie spelen en bijna een compensatie willen eisen dat is fout.

[...]
Nergens staat vermeld welke keten het is, wie zegt trouwens überhaupt dat het een keten is?

Echt waar, jij hebt een ander tabblad met een ander topic voor je ofzo.
TS zegt zelf in de TS :
- Dat het een retailer is met vestigingen in heel het land (aka keten)
- Dat hij compensatie wil zien
- Dat hij het meer dan de door jou genoemde 2-3x heeft geprobeerd
Alleen jij bent continue bezig met dat te bestrijden. Waarom? Lees de TS nou eens gewoon door...

[Steephh]

Gomez12 schreef op vrijdag 21 april 2017 @ 00:53:
[...]

Ehm ja... Meldplicht benoemt de TS zelf en tijdsdruk creëert hij door een handleiding te schrijven hoe het uit te voeren.

Met tijdsdruk bedoel ik een wettelijke tijdsdruk als in: het melden van het lek door het bedrijf aan de AP.

[...]

Dat komt omdat jij volgens je eigen methode wilt werken waarbij je een een compensatie / klopje op de schouder / "goed gedaan jochie" wenst te krijgen waarvoor je iemand te spreken moet krijgen.

Wat je niet lijkt te begrijpen is dat het gemiddelde bedrijf geen procedures heeft om buitenstaanders een een compensatie / klopje op de schouder / "goed gedaan jochie" te geven van een manager. Daarom reageren de mensen die met jou praten in 1e instantie geïrriteerd want ze weten niet wat ze met jou aanmoeten en je wilt niet weggaan zonder dat je die compensatie / klopje op de schouder / "goed gedaan jochie" hebt gehad

Ik heb destijds een melding gemaakt en gevraagd of ik hierop feedback kon krijgen. In eerste instantie werd er ontkent, na nogmaals gemeld te hebben bij een andere persoon van de klantenservice (per mail) kreeg ik de toezegging dat ik op de hoogte zou worden gehouden van wat IT er van zou zeggen. Ik wilde namelijk weten OF er iets mee zou gebeuren. Bij latere navraag (en daar zaten maanden tussen) zei men steeds: "het is nog in behandeling"....

Nergens, maar dan ook NERGENS vroeg ik om een schouderklopje / compensatie / whatever. Het was simpelweg een melding en de vraag wat men hiermee ging doen (lees: wat zij gingen doen om dit probleem op te lossen)... Waar komen toch steeds die aannames vandaan...

Gewoon mailen / online formulier invullen en daarvoor zijn er zat procedures om dat soort dingen hoger in de organisatie te krijgen en snel ook.


[...]

Heb jij een ander topic voor je ofzo? Jij leest echt totaal iets anders als wat er hier de hele tijd gepost wordt.
Zoals jij zelf al eerder postte kan je 2-3 profielen bekijken om te testen of het echt zo erg is.

Daar zit TS al aan met zijn 1e poging
Dan nog 1 poging met een klantnr zonder orders (oh nee wacht, hij zei dat hij er meerdere tegenkwam zonder orders)
Toen 1 met een order.
Toen nog in 1x gokken wat het hoogste klantnr was (oh nee wacht, hier deed hij volgens eigen zeggen ook meerdere keren over)
Dan nog even met 1x inklemmen zijn order naar boven halen (oh nee wacht, het was meerdere keren inklemmen)

Qua absoluut minimum en wat totaal niet overeenkomt met zijn woorden zit hij al op 5 profielen. Vermenigvuldig dat maar gerust met een ruime factor want hij zegt zelf al dat hij er een aantal geprobeerd heeft bij 3 van de 5 stappen.

Het is niet dat ik hem voor het gerecht wil zien, het is niet dat ik geen bug meer gemeld wil zien worden. Alleen deze manier van werken heeft niets meer met fatsoenlijk bug-hunting te maken. Dit gaat gewoon alle perken te buiten.
Oftewel fatsoenlijk bug-hunten en fatsoenlijk melden dat is goed.
Script-kiddie spelen en bijna een compensatie willen eisen dat is fout.

Niet iedereen is professioneel (al dan niet betaald) bug-hunter en van wat ik begrijp is dat hij in eerste instantie zijn eigen order terug wilde zoeken. Maar dan nog is er een grens tussen een aantal pogingen doen ten doel je eigen order terug te vinden (TS heeft toch niet ervoor gekozen dat die gegevens zomaar getoond worden, heel kort door de bocht?). Imho gaat het er om wat je verder met al die info doet. Alles door zitten neuzen en iets daadwerkelijk met die info doen is een heel ander vlak.

En ik kan me ook voorstellen dat niet iedereen de wetgeving hieromtrent op zijn duimpje kent. Misschien is dat dan een taak voor de rijksoverheid, betere voorlichting met betreft het omgaan met datalekken of iets dergelijks.

[...]

Echt waar, jij hebt een ander tabblad met een ander topic voor je ofzo.
TS zegt zelf in de TS :
- Dat het een retailer is met vestigingen in heel het land (aka keten)
- Dat hij compensatie wil zien
- Dat hij het meer dan de door jou genoemde 2-3x heeft geprobeerd
Alleen jij bent continue bezig met dat te bestrijden. Waarom? Lees de TS nou eens gewoon door...

1. Jup; maar als ik de TS was zou ik dat expres anders omschrijven om de kans dat iemand anders met dezelfde bug aan de haal gaat te voorkomen, dat was het enige dat ik zei. Wie weet is het een webwinkel gebouwd in frontpage of een internationale retailer..
2. Nope. Nope nope nope

TS:
Nou verwacht ik niet direct een beloning voor deze vondst, maar misschien is een compensatie voor mijn tijd die ik erin heb gestopt in het verder uitzoeken, het melden en het datalek uit te leggen aan personen binnen de organisatie wel op zijn plaats. Hoe denken jullie hierover? Vinden jullie dit terecht?

Overige posts van de TS:(die blijkbaar niet belangrijk zijn want alleen wat in de Topicstart staat is heilig?):
Ik wil geen compensatie afdwingen, noch is het een streven. Ik wil puur toetsen of ik mezelf tekort doe om het werk wat zij eigenlijk vooraf al hadden moeten doen maar gratis op een briefje moet overhandigen.

Dat wil ik uitdrukkelijk niet. Ik vraag om een mening of een compensatie terecht is of niet en niet om een manier om het af te dwingen.

Indien ik dit doorzet zal mijn vraag aan de retailer ook zijn om dit werk te beoordelen en zelf de hoogte van de eventuele compensatie te kiezen. Ik ga hier niet over onderhandelen.

3. Excuses van mijn kant, dat heb ik niet goed gelezen. Maar of het nu 1x teveel of 8x teveel is, beiden zijn dan even fout. Mijns inziens gaat het echter voornamelijk om wat zijn doel er precies mee was. Dat isechter natuurlijk lastig te verifiëren.

[hell4you]

Ok, goed, na het hele verhaal hierboven te hebben gelezen zal ik even kort reageren en vervolgens samenvatten hoe het verder is verlopen.

Er wordt herhaaldelijk genoemd "dat ik het eerst maar eens moet melden". In de TS staat duidelijk dat ik het op dat moment al lang op management niveau aan de organisatie had gemeld. Alle opmerkingen hieraan gerelateerd ga ik niet verder op in.

RGAT schreef op donderdag 20 april 2017 @ 04:28:
Hoe groot is dat lek nou eigenlijk en hoe groot is de retailer?

De retailer in kwestie heeft een omzet van enkele tientallen miljoenen euro's per jaar volgens bronnen op internet. Als ik verder in detail treed kun je afleiden welke organisatie het betreft.

Croga schreef op donderdag 20 april 2017 @ 06:53:
Het staat nou juist níet los van of je het professioneel doet of niet. Het "werk" wat jij geleverd hebt is een half uurtje klikken. Het bedrijf heeft hier relatief weinig aan.

Dat we deze discussie op een technisch forum voeren wil niet zeggen dat het voor iedereen "een half uurtje klikken" is. Het bedrijf was blijkbaar zelf niet in staat om hier een degelijke oplossing voor te maken. Dat het zo absurd simpel te vinden is onderstreept dit alleen maar.

Gomez12 schreef op donderdag 20 april 2017 @ 07:22:
Want ik zou maximaal compensatie verwachten in de vorm van :
- Geen aangifte overtreden databankrecht
- Geen aangifte computervredebreuk.

Ten eerste, de informatie in kwestie is publiekelijk beschikbaar, zonder enkele vorm van authenticatie. Als ik ergens een pagina publiceer met vertrouwelijke informatie kan ik ook niet claimen dat dit computervredebreuk is. Het bedrijf is strafbaar door deze informatie niet adequaat te beveiligen. Ten tweede, ik was na bevestiging van het lek niet uit op andermans gegevens, maar op zoek naar die van mijzelf, aangezien hun systeem bij het aanmaken van het account al steken heeft laten vallen. Dit had ik na een stuk of 10 pogingen gevonden en daar ben ik dan ook gestopt omdat ik mijn doel had bereikt.

sorted.bits schreef op donderdag 20 april 2017 @ 09:59:
Ik ben het eens met de mensen die roepen dat het strafbaar is. Ok, gewoon rondkijken klinkt nog redelijk onschuldig, maar in zijn verhaalt noemt TS ook dat je gegevens kan wijzigen. Voordat je dat kan roepen heb je dit, neem ik aan, ook geprobeerd.

Jazeker, dit heb ik geprobeerd op mijn eigen account. Notabene om de onjuiste registratie van het tweede account ongedaan te maken zodat ik mijn order weer op de normale manier in kon zien.

P_Tingen schreef op donderdag 20 april 2017 @ 10:47:
Ik vind dat er ook nogal aardig op TS wordt ingehakt eerlijk gezegd. Als ik in zijn schoenen stond, dan zou ik me ook even afvragen of hier nog een vergoeding of iets dergelijks tegenover zou staan.

En dit is exact waarover ik had gehoopt dat de discussie zou gaan. Het resultaat is helaas een slagveld dat met misverstanden en aannames aan elkaar hangt.

P_Tingen schreef op donderdag 20 april 2017 @ 10:47:Stel je voor dat de retailer een beleid heeft dat dit soort meldingen met duizend euro beloond worden.

De core business van deze retailer is niet IT gerelateerd en vaak zijn het alleen dat soort bedrijven die een dergelijke compensatieregeling aanbieden.

Dunky555 schreef op donderdag 20 april 2017 @ 14:09:
Wel even melden bij AP trouwens.

Dit laat ik over aan het bedrijf, mochten zij dit niet doen kan ik het altijd zelf nog oppakken. Zij zijn aansprakelijk bij het verzwijgen van dergelijke lekken op straffe van hoge boetes.

Martin Sturm schreef op donderdag 20 april 2017 @ 18:34:
Hij heeft duidelijk meer gedaan en is doorgegaan nadat hij al de impact weet.

Blijkbaar heb je aan mijn verhaal al genoeg context om te kunnen bepalen dat ik "te ver" ben gegaan. Ik vind dat een relatief snelle conclusie aangezien je niet kunt bepalen wat 'een poging' precies inhoudt. Daarbij ben ik bijzonder geinteresseerd in een (juridische) bron waarbij de definitie van "te ver" wordt bepaald.

Steephh schreef op donderdag 20 april 2017 @ 21:22:
Ik vermoed overigens dat dat puur is een ingang te vinden naar de juiste verantwoordelijke persoon om dit aan te melden.

Dit was eigenlijk puur toeval aangezien deze collega direct een persoon kent binnen het management van de retailer. Om het verhaal maar 1 keer te hoeven doen, in plaats van via eerste lijns pogingen doen om serieus genomen te worden leek mij dit de beste manier. Als deze kans zich niet had voorgedaan had ik die weg uiteraard wel moeten bewandelen.

42dpi schreef op donderdag 20 april 2017 @ 21:42:
En dan wil jij blijven beweren dat TS goedheidzelf is en geen compensatie verlangt

Je quote me gedeeltelijk en verdraait daarmee mijn woorden. Ik krijg de indruk dat je me in eerste instantie verkeerd hebt begrepen en nu je standpunt probeert te verdedigen. Vergeet wat je nu denkt bij wat 'een compensatie' voor moet stellen. Het is niet aan mij om te bepalen dus ik denk hier niet over na. Denk niet dat ik nu droom over een riante beloning, dat is totaal niet aan de orde. Ik wil hier graag een punt onder zetten en verder discussiëren of welke compensatie dan ook met initiatief vanuit het bedrijf op zijn plaats zou zijn.

Gomez12 schreef op donderdag 20 april 2017 @ 23:05:
Kan je een lek als dit, waarbij je een 100% handleiding geeft maar enkel de bedrijfsnaam niet noemt (ik vermoed dat er al een aantal tweakers een aantal websites hebben geprobeerd gewoon even kijken of het de keten is waar zij laatst iets gekocht hebben), weken open blijven staan?

Is dit een oproep voor een collectieve poging om privacy problemen te vinden en op te lossen ?

Status
Om verdere speculatie zoals in bovenstaande posts te voorkomen zal ik de stand van zaken even melden. Vanochtend heb ik een email ontvangen met daarin het telefoonnummer van de IT beheerder. Na kort contact bleek dat hij het probleem aan de hand van mijn bericht (aan zijn collega) zelf al had gelocaliseerd en opgelost. Ik heb met hem de details besproken en hij heeft het probleem bevestigd en toegezegd hier een gedegen oplossing voor te maken. Ik was enigszins verrast omdat mijn verwachtingen blijkbaar onterecht laag waren, maar mijn complimenten voor hoe het bedrijf deze kwestie na melding heeft opgepakt. We hebben op een later moment nog contact over de verdere afhandeling, bijv. of er melding is gedaan bij de autoriteit persoonsgegevens. Ik heb niet gevraagd of gehint om een compensatie, dat is niet aan mij.

[Steephh]

hell4you schreef op vrijdag 21 april 2017 @ 01:24:
Ok, goed, na het hele verhaal hierboven te hebben gelezen zal ik even kort reageren en vervolgens samenvatten hoe het verder is verlopen.

Duidelijk uitleg van de gang van zaken! Thanks

[...]

Is dit een oproep voor een collectieve poging om privacy problemen te vinden en op te lossen ?

Status
Om verdere speculatie zoals in bovenstaande posts te voorkomen zal ik de stand van zaken even melden. Vanochtend heb ik een email ontvangen met daarin het telefoonnummer van de IT beheerder. Na kort contact bleek dat hij het probleem aan de hand van mijn bericht (aan zijn collega) zelf al had gelocaliseerd en opgelost. Ik heb met hem de details besproken en hij heeft het probleem bevestigd en toegezegd hier een gedegen oplossing voor te maken. Ik was enigszins verrast omdat mijn verwachtingen blijkbaar onterecht laag waren, maar mijn complimenten voor hoe het bedrijf deze kwestie na melding heeft opgepakt. We hebben op een later moment nog contact over de verdere afhandeling, bijv. of er melding is gedaan bij de autoriteit persoonsgegevens. Ik heb niet gevraagd of gehint om een compensatie, dat is niet aan mij.

Mooi, dat is daar in ieder geval goed opgepakt! Weer een lek minder! Ben nog wel erg benieuwd naar de verdere afhandeling. :-)

[Gomez12]

hell4you schreef op vrijdag 21 april 2017 @ 01:24:
Er wordt herhaaldelijk genoemd "dat ik het eerst maar eens moet melden". In de TS staat duidelijk dat ik het op dat moment al lang op management niveau aan de organisatie had gemeld.

Kan je eens quoten waar dit duidelijk staat?

Ik herlees het namelijk nu nogmaals en het enige wat ik zie staan is :
Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden". Reactie hierop laat tot dusver nog op zich wachten.

[...]
Ten eerste, de informatie in kwestie is publiekelijk beschikbaar, zonder enkele vorm van authenticatie.

"Van het misdrijf computervredebreuk (art. 138ab Strafrecht) is sprake als je opzettelijk en wederrechtelijk binnendringt in een computersysteem. Het is niet vereist dat je een beveiliging kraakt; genoeg is dat je weet dat je niet mag zijn waar je bent." Van https://www.security.nl/p...der+computervredebreuk%3F

[...]
Blijkbaar heb je aan mijn verhaal al genoeg context om te kunnen bepalen dat ik "te ver" ben gegaan. Ik vind dat een relatief snelle conclusie aangezien je niet kunt bepalen wat 'een poging' precies inhoudt. Daarbij ben ik bijzonder geinteresseerd in een (juridische) bron waarbij de definitie van "te ver" wordt bepaald.

Zie quote van Arnoud Engelfriet hierboven.
Je weet dat je niets te zoeken hebt op profielpagina's van willekeurige getallen, toch benader je ze oftewel je gaat te ver.

[...]
en verder discussiëren of zo'n compensatie met initiatief vanuit het bedrijf op zijn plaats zou zijn.

Wat valt daar verder over te discussiëren? Ik heb mijn mening al gegeven, en als het echt aan het bedrijf zou zijn dan zou de hele discussie ook zinloos zijn, want dan is het enkel en alleen aan het bedrijf.
En of de directeur dan besluit om geen compensatie te geven omdat hij gisteren geen beurt kreeg van zijn maîtresse noch van zijn vrouw en dus sacherijnig is dat is vrij irrelevant.

Straks zegt heel GoT dat een compensatie op zijn plaats zou zijn, nee wacht heel NL zegt dat, nee wacht de hele wereldbevolking zegt dat. Maar het bedrijf geeft het niet, dan is de hele mening van de wereldbevolking irrelevant, of je moet dat opeens spontaan daar laten vallen waardoor je weer druk kan zetten (kijk de hele wereldbevolking is het met mij eens)

Ik heb niet gevraagd of gehint om een compensatie, dat is niet aan mij.

Je leert het wel...

[franssie]

Gomez12 schreef op vrijdag 21 april 2017 @ 01:55:
[...]

Kan je eens quoten waar dit duidelijk staat?
<>

Duidelijk of niet hangt af van hoe goed je bent in begrijpend lezen. Werk je bij de volkskrant? Je maakt goede opmerkingen maar de toon is altijd zo zuur.

[hell4you]

Gomez12 schreef op vrijdag 21 april 2017 @ 01:55:
Kan je eens quoten waar dit duidelijk staat?

hell4you schreef op donderdag 20 april 2017 @ 01:44:
Ik heb dit op het werk eens besproken en een collega kende iemand die bij die zaak wat hoger in de boom zat, maar niet direct verantwoordelijk voor IT. Ik heb via deze collega een bericht gestuurd met de melding dat "een collega een ernstig datalek heeft gevonden".

Goed, misschien was dit alleen voor mij duidelijk, maar met "wat hoger in de boom" bedoelde ik iemand in het management. Verder lijkt het me evident dat ik wel degelijk direct een melding bij het bedrijf heb gedaan.

Gomez12 schreef op vrijdag 21 april 2017 @ 01:55:
"Van het misdrijf computervredebreuk (art. 138ab Strafrecht) is sprake als je opzettelijk en wederrechtelijk binnendringt in een computersysteem. Het is niet vereist dat je een beveiliging kraakt; genoeg is dat je weet dat je niet mag zijn waar je bent."

Het scrapen van een website is toch wel wat anders dan het proberen van 10 mogelijkheden, zonder daarbij gegevens te verzamelen. Er is derhalve dus ook geen sprake van schade. Ik zie niet echt een relatie met mijn situatie.

Gomez12 schreef op vrijdag 21 april 2017 @ 01:55:
Wat valt daar verder over te discussiëren? Ik heb mijn mening al gegeven, en als het echt aan het bedrijf zou zijn dan zou de hele discussie ook zinloos zijn, want dan is het enkel en alleen aan het bedrijf.

Nou, het was een vrijblijvende uitnodiging voor mensen die graag nog iets toe willen voegen aan deze discussie.

Gomez12 schreef op vrijdag 21 april 2017 @ 01:55:
Straks zegt heel GoT dat een compensatie op zijn plaats zou zijn, nee wacht heel NL zegt dat, nee wacht de hele wereldbevolking zegt dat. Maar het bedrijf geeft het niet, dan is de hele mening van de wereldbevolking irrelevant, of je moet dat opeens spontaan daar laten vallen waardoor je weer druk kan zetten (kijk de hele wereldbevolking is het met mij eens)

Dat is toch prima, je neemt nu weer zonder reden aan dat ik een conclusie uit dit topic ergens voor wil gebruiken. Probeer het verhaal iets luchtiger te lezen. Ik zou het hooguit jammer kunnen vinden als heel Nederland van mening is dat een compensatie op zijn plaats is en het bedrijf anders besluit. Voor mij houdt het daar op. De reden om het topic te starten is omdat ik het een goed onderwerp voor een interessante discussie vond, ook omdat mij dit verhaal momenteel direct aangaat.

Ik wil je ook verzoeken om je cynische opmerkingen achterwege te laten.

[Gomez12]

hell4you schreef op vrijdag 21 april 2017 @ 02:20:
[...]
Goed, misschien was dit alleen voor mij duidelijk, maar met "wat hoger in de boom" bedoelde ik iemand in het management. Verder lijkt het me evident dat ik wel degelijk direct een melding bij het bedrijf heb gedaan.

Dat het management oid was dat was wel duidelijk hoor.
Alleen versta ik een bericht sturen met de tekst "een collega een ernstig datalek heeft gevonden" niet als een melding, dat is een telegraaf/prive kop en inhoudelijk niets waard.

[...]
Het scrapen van een website is toch wel wat anders dan het proberen van 10 mogelijkheden, zonder daarbij gegevens te verzamelen. Er is derhalve dus ook geen sprake van schade. Ik zie niet echt een relatie met mijn situatie.

Ik quote de letterlijke tekst die van toepassing is en jij gaat zeggen dat de niet gequote tekst niet relevant is? Waarom denk je dat ik die tekst niet quote? Wellicht omdat die idd niet relevant is. Het relevante gedeelte is gequote.

[...]
Probeer het verhaal iets luchtiger te lezen.

Sorry, ik werd op het verkeerde been gezet doordat iemand "Serieus datalek" in de topictitel had gezet en teksten gebruikte als "Het lek is van zo'n dergelijke aard dat er flink wat schade aangericht kan worden." of "Het is alleen wel belangrijk dat ze dit lek niet even snel repareren en vervolgens onder de mat schuiven." of "Wat mij betreft is het onvergefelijk dat een retailer van dergelijk formaat zijn zaken zo slecht op orde heeft."

En terloops noem je iemand die je niet kent en waar je niets vanaf weet gewoon maar even onkundig : "Deze website is werk waar financieel fors op is bespaard (bijv. door het door een onkundig persoon te laten ontwikkelen)."

Maar het is dus een heel luchtig verhaal en geen ernstig iets.

Ik wil je ook verzoeken om je synische opmerkingen achterwege te laten.

Wat zijn dat synische opmerkingen? Die term ken ik niet. Ik ken wel cynisch, maar dat schrijf je anders.
En als je toch die term bedoelde, misschien dat je wat luchtiger naar mijn opmerkingen moet kijken.

[hell4you]

Gomez12 schreef op vrijdag 21 april 2017 @ 02:38:
Dat het management oid was dat was wel duidelijk hoor.
Alleen versta ik een bericht sturen met de tekst "een collega een ernstig datalek heeft gevonden" niet als een melding, dat is een telegraaf/prive kop en inhoudelijk niets waard.

Uiteraard was dat niet de letterlijke tekst van het bericht. Blijkbaar heb ik genoeg informatie gestuurd zodat ze (voordat ik uberhaupt contact had met de IT afdeling) het lek vooraf al konden dichten.

Gomez12 schreef op vrijdag 21 april 2017 @ 02:38:
Ik quote de letterlijke tekst die van toepassing is en jij gaat zeggen dat de niet gequote tekst niet relevant is? Waarom denk je dat ik die tekst niet quote? Wellicht omdat die idd niet relevant is. Het relevante gedeelte is gequote.

Ik had wellicht beter de link kunnen quoten want het statement dat jij van de pagina quote gaat over de context van 'scrapen' en 'online prijsvergelijkers'. Dat jij alleen die zin relevant vindt voor jouw punt is een beetje kort door de bocht of niet? Kun je dan niet beter naar een bron verwijzen waar de context ook klopt?

Gomez12 schreef op vrijdag 21 april 2017 @ 02:38:
Sorry, ik werd op het verkeerde been gezet doordat iemand "Serieus datalek" in de topictitel had gezet en teksten gebruikte als "Het lek is van zo'n dergelijke aard dat er flink wat schade aangericht kan worden." of "Het is alleen wel belangrijk dat ze dit lek niet even snel repareren en vervolgens onder de mat schuiven." of "Wat mij betreft is het onvergefelijk dat een retailer van dergelijk formaat zijn zaken zo slecht op orde heeft."

En terloops noem je iemand die je niet kent en waar je niets vanaf weet gewoon maar even onkundig : "Deze website is werk waar financieel fors op is bespaard (bijv. door het door een onkundig persoon te laten ontwikkelen)."

Maar het is dus een heel luchtig verhaal en geen ernstig iets.

De discussie zou luchtiger moeten zijn, de situatiebeschrijving vooraf dient als context. Uiteraard is het een ernstige zaak. Toegegeven, de TS is met enige emotie geformuleerd wat niet direct uit tekst af te leiden valt, omdat het gisteren allemaal nog heel vers was.

Verder mag ik prima mijn mening geven over een persoon waarvan ik vind dat hij zijn werk niet goed heeft gedaan. Wat hij zich daar van aantrekt is zijn probleem.

Gomez12 schreef op vrijdag 21 april 2017 @ 02:38:
Wat zijn dat synische opmerkingen?

Goed gevonden spelfout, bedankt. Ik heb het direct voor je aangepast zodat je je er niet meer aan hoeft te storen.

[RGAT]

Probeer het topic dan ook eens vanaf een ander punt te bekijken, elk topic heeft een onderwerp. Onderwerp hier is er niet... Het gaat volgens jou niet over jou redenen geven waarom je compensatie mag vragen/eisen/verwachten, het gaat niet over het lek zelf of het bedrijf en het gaat niet over hoe je het meldt.

Punt dat Gomez maakt is dan ook best goed: zelfs als de hele wereld zegt dat je compensatie verdient betekent dat niks tenzij je die vergoeding dus wilt eisen. Dat je daar niet blij mee bent (geen geld is altijd jammer) is begrijpelijk maar maakt dat zijn reactie dan gelijk cynisch?...
Anyway, wat wil je nou met dit topic? Je hebt een lek gevonden, hebt het gemeldt en het is opgelost maar je lijkt geen compensatie te krijgen en je wilt die compensatie niet eisen, dus wat nu?

[franssie]

Het laatste woord En dat geldt voor Gomez12 als hell4you allebei net zo goed. Dit is verplassen

[NiGeLaToR]

Goed opgelost zo @hell4you
Alle commentaren (hier) ten spijt zou ik als management / IT club van zo'n bedrijf erg blij met je zijn.